Регистрацията на инциденти е преглед, който поддържате за това, което се е случило, кога, в коя система и кой е бил участник, от момента, когато забележите нещо необичайно, до момента на разрешението. За ИКТ доставчик това конкретно означава: времето на първото докладване, кои системи на клиента са засегнати, кой служител или подизпълнител е имал достъп в този момент, какви стъпки са предприети и кога ситуацията се е нормализирала.
Тази регистрация не е отделна законна задължение за докладване — то важи за организации, които самите попадат под Закона за киберсигурност, не автоматично за техните доставчици. Но клиент, който е задължен, трябва да може да оцени собствената си верига доставки, което прави, като ви попита как документирате инциденти и ги правите доказуеми. Без подреден отговор на този въпрос договор обикновено не преминава пробното лице.
Защо това е важно именно за ИКТ доставчиците
Инсталационно предприятие или консултантска фирма обикновено имат една среда за наблюдение: своята. ИКТ доставчик структурно работи в системите на други лица, често отдалечено, понякога с административни права, които дават широк достъп. Ако там нещо се обърка, въпросът не е само какво се е случило при вас, но и какво е засегнато при клиента и дали може да се проследи до сеанс, профил или момент на достъп. Клиенти, които самите попадат под задължението за риск, очакват да можете да покажете тази проследяемост, дори ако инцидентът е бил преди месеци.
Отдалечено управление: какво документирате
Отдалеченото управление се отнася до три неща, които трябва да бъдат отделно установими: кой е стартирал сеанса, от кой профил или кое работно място, и какво е направено в този сеанс. Много инструменти за отдалечено управление това автоматично регистрират, но важния въпрос не е дали инструментът го регистрира, а дали можете да покажете тази регистрация, когато клиент или надзорен орган го поискат. Отдельна съответствие на кои клиентски среди са отдалечено достъпни и от кого, е често достатъчна, за да отговорите на този въпрос без да навлизате в техническите детайли.
Достъп до клиентски системи: отпуснат, използван, отозван
Достъпът до клиентска система обикновено не е постоянно състояние, а момент: някой получава профил, го използва за задача, и достъпът се отозва. При инцидент първи въпрос е обикновено кой е имал достъп в този момент, не кой някога е имал достъп. Съответствие, в което е записано кога е отпуснат достъп и кога е отозван, позволява бързо и конкретно да отговорите на този въпрос. Ако липсва този преглед, трябва да го реконструирате в момент, когато вече има прилив, а това е именно моментът, когато е най-трудно.
Поддоставчици: веригата не свършва при вас
Ако сами работите с подизпълнител за част от управлението, въпросът не се премества, а се разширява. Клиент, който оценява вашата работа, иска да знае дали инцидент, възникнал при вашия подизпълнител, е видим и за вас, и не чак след това чрез телефонен разговор. Практически това означава, че договори с подизпълнители говорят за вътрешни периоди на докладване, и че собствената ви регистрация на инциденти дава място да посочите кое част на инцидент е била при трета страна. разбрани отделно кои от темите са релевантни за вашата ситуация дава добра начална точка, за да видите кои въпроси на веригата се отнасят до вашия тип услугa.
Какво е и какво не е регистрация
Регистрирането на инцидент е документация, не отговор. Става дума за това, което можете да покажете след като нещо е разрешено, а не за това колко бързо отговаряте или какви технически мерки прилагате по време на инцидент — последното е работа на отговорните на инциденти екипи, SOC и съдебни експерти, и това категорично не е предмет на тази статия или secria.eu. Това, което наистина правим, е да направим прегледа ясен: коя мярка към кой доказателствен материал и кой в организацията е отговорен за нея. отговори на въпроси, които МСП доставчици често задават показва къде е границата между документирането и действителния отговор.
Където го разместите
Независимо дали самите вие попадате под Закона за киберсигурността или сте засегнати чрез клиент, въпросът за регистрирането на инциденти се появява в почти всеки списък с въпроси относно сигурността. Структуриран отговор започва с познаването на точното си място: в няколко въпроса да видите дали и как сте засегнати прави това ясно за няколко минути, без да имате нужда от акаунт.
Искате ли да знаете как такава регистрация на практика се превръща в живото досие, със статус, доказателствен материал и отговорник за всяка мярка? Направете безплатната NIS2 проверка или прочетете базата знания на secria.eu; и двете са достъпни без акаунт.