Подробный разбор: PDF, зеркало PDF
Документ Microsoft под названием “Navigating Incident Response” содержит руководство по эффективной стратегии и тактике реагирования на инциденты (IR). В нем подчёркивается важность людей и процессов при реагировании на инцидент в области кибербезопасности.
Инциденты кибербезопасности так же неизбежны, как разрядка аккумулятора телефона в самый неподходящий момент. И точно так же, как нужен план на случай, если телефон выйдет из строя (может быть, купить power bank?), нужен план на случай возникновения кибератак. Данное руководство полностью посвящено этому плану, уделяя особое внимание людям и процессам, задействованным в эффективном реагировании на инцидент.
Сейчас, когда корпоративные сети увеличиваются в размерах и становятся сложнее, обеспечить их безопасность становится довольно-таки трудной задачей (а ведь можно просто забить). А процесс реагирования на инциденты превращается в игру лабиринт из которых, ну вы поняли, выход — это руководство Microsoft (а ведь только у четверти организаций есть план реагирования на инциденты, и вы ещё не в их числе).
Руководство, разработанное группой реагирования на инциденты Microsoft, призвано помочь избежать распространённых ошибок и предназначено не для замены комплексного планирования реагирования на инциденты, а скорее для того, чтобы служить тактическим руководством, помогающим как группам безопасности, так и старшим заинтересованным сторонам ориентироваться в расследовании реагирования на инциденты.
В руководстве также описывается жизненный цикл реагирования на инциденты, который включает подготовку, обнаружение, локализацию, ликвидацию, восстановление и действия после инцидента или извлечённые уроки. Это как рецепт борьбы со стихийными бедствиями, где каждый шаг столь же важен, как и следующий.
В руководстве также подчёркивается важность управления и роли различных заинтересованных сторон в процессе реагирования на инциденты.
Ключевые выводы:
❇️Инциденты кибербезопасности неизбежны: Документ начинается с новаторского заявления о том, что инциденты кибербезопасности, по сути, неизбежны. Как будто мы живём в мире, где киберугрозы не являются ежедневным явлением
❇️Только 26% организаций имеют постоянно применяемый IR-план: приводится исследование IBM согласно которому у 26% организаций есть постоянно применяемый план реагирования на инциденты. Отрадно сознавать, что почти три четверти организаций решило эффективно сэкономить материальные ресурсы
❇️Важность реагирования на инциденты, ориентированного на людей: подчёркивается важность подхода к реагированию на инциденты. Речь идёт не только о технологиях, но и о людях, которые их используют. Хорошо, что у нас есть это руководство, которое напоминает нам, как люди вовлечены в процессы и что всегда найдётся чем людей занять и HR-отдел для поиска новых людей под новые вовлечения
❇️Необходимость чётких ролей и обязанностей: подчёркивается важность чётких ролей и обязанностей при реагировании на инциденты. Люди работают лучше, когда знают, что они должны делать, а ведь руководство до сих пор верит, что сотрудники могут обо всём догадаться, но Microsoft учтиво напоминает прописные истины.
❇️«Лабиринт реагирования на инциденты»: процесс реагирования на инциденты сравнивается с перемещением по лабиринту. Потому что ничто так не говорит об “эффективном процессе”, как структура, созданная для того, чтобы сбивать с толку и направлять по ложному пути (отдел продаж уже получил премию за IR-руководство, а вы?)
❇️Важность сохранения доказательств: подчёркивается важность сохранения доказательств после нарушения. Хорошо, что они упомянули об этом, иначе мы могли бы просто выбросить все эти ценные данные
❇️Необходимость в модели реагирования: предлагается, чтобы организации определили модель реагирования для управления инцидентом (займитесь делом уже).
❇️Потребность в выделенных ресурсах: предлагается, чтобы организации выделяли ресурсы для реагирования на инциденты. Потому что, очевидно, просить свою ИТ-команду разобраться с крупным инцидентом в сфере кибербезопасности в свободное время, как подход, уже не прокатывает.
❇️Важность коммуникации: подчёркивается важность коммуникации во время инцидента кибербезопасности. Людей важно держать в курсе событий во время кризиса или и других значимых событий (но, если бы они хотели, они бы сами догадались).
Итак, как организации могут гарантировать, что их план реагирования на инциденты будет достаточно гибким, чтобы адаптироваться к меняющимся обстоятельствам? Очевидно, что никак, как с погодой, но вы можете подготовиться к ней.