En incidentregistrering er det overblik, du vedligeholder over, hvad der skete, hvornår, i hvilket system og hvem der var involveret, fra det øjeblik du bemærker noget afvigende til det er løst. For en ICT-serviceudbyder betyder det konkret: tidspunktet for den første melding, hvilke kundesystemer der blev påvirket, hvilken medarbejder eller underleverandør der havde adgang på det tidspunkt, hvilke trin der blev taget, og hvornår situationen var normaliseret igen.
Denne registrering er ikke i sig selv en lovpligtig anmeldelsespligt — den gælder for organisationer, der selv falder under cybersikkerhedsloven, ikke automatisk for deres leverandører. Men en kunde, der er omfattet af pligten, skal kunne vurdere sin egen forsyningskæde, og det gør han ved at spørge dig, hvordan du dokumenterer hændelser og kan bevise det. Uden et organiseret svar på det spørgsmål når en kontrakt ofte ikke længere end til den første dialog.
Hvorfor dette især gælder ICT-serviceudbyders
Et installationsfirma eller et rådgivningsbureau har typisk ét miljø at overvåge: deres eget. En ICT-serviceudbyder arbejder strukturelt i andre virksomheders systemer, ofte på afstand, nogle gange med administratorrettigheder, der går langt. Hvis der går noget galt der, er spørgsmålet ikke kun, hvad der skete hos dig, men også hvad der påvirkede kunden og om det kan spores tilbage til en session, en konto eller et adgangstidspunkt. Kunder, der selv er omfattet af pligten til risikostyring, forventer, at du kan vise den sporbarhed, selv hvis hændelsen fandt sted for måneder siden.
Fjernbeheer: hvad du skal dokumentere
Ved fjernbeheer handler det om tre ting, der skal kunne ses hver for sig: hvem der startede sessionen, fra hvilken konto eller hvilket arbejdssted, og hvad der blev gjort i den session. Mange værktøjer til fjernbeheer logfører dette automatisk, men det afgørende spørgsmål er ikke, om værktøjet logfører det, men om du kan vise den logfør, når en kunde eller en tilsynsmyndighed spørger. At vedligeholde en separat liste over, hvilke kundemiljøer der er tilgængelige på afstand, og af hvem, er ofte tilstrækkeligt til at besvare spørgsmålet uden at skulle dykke ned i teknikken.
Adgang til kundesystemer: givet, brugt, tilbagekaldt
Adgang til et kundesystem er normalt ikke en permanent tilstand, men et moment: nogen får en konto, bruger den til en opgave, og adgangen bliver tilbagekaldt. Ved en hændelse er det første spørgsmål normalt, hvem der havde adgang på det tidspunkt, ikke hvem, der nogensinde har haft adgang. Et register, der viser, hvornår adgang blev givet, og hvornår den blev tilbagekaldt, gør det muligt at besvare spørgsmålet hurtigt og præcist. Hvis det overblik mangler, må du rekonstruere det på det tidspunkt, hvor der allerede er travlhed, og det er netop det tidspunkt, hvor det er sværest.
Underleverandører: kæden slutter ikke hos jer
Hvis du selv arbejder med en underleverandør for en del af behæringen, forskydes spørgsmålet ikke, det bliver forlænget. En kunde, der vurderer dit arbejde, vil vide, om en hændelse, der opstår hos din underleverandør, også bliver synlig for dig, og ikke først senere via et telefonkald. Praktisk betyder det, at aftaler med underleverandører siger noget om interne meddelelsesfristerne, og at din egen incidentregistrering giver plads til at angive, hvilken del af en hændelse, der lå hos en tredjemand. pr. emne undersøgt, hvad der er relevant for din situation giver et godt udgangspunkt til at se, hvilke spørgsmål vedr. forsyningskæden, der høres under din type serviceydelse.
Hvad en registrering er og ikke er
En hændelsesregistrering er en dokumentation, ikke et respons. Det handler om, hvad du kan dokumentere efter, at noget er løst, ikke om, hvor hurtigt du reagerer, eller hvilke tekniske foranstaltninger du anvender under en hændelse — sidstnævnte er arbejdet for hændelsesresponsteams, SOC'er og retsmedicinske undersøgere, og det er uttrykkelig ikke, hvad denne artikel eller secria.eu handler om. Hvad vi gør, er at få overblikket klart: hvilken foranstaltning hører til hvilket bevis, og hvem i din organisation er ansvarlig for det. svar på spørgsmål, som små og mellemstore leverandører ofte stiller viser, hvor grænsen går mellem at dokumentere og rent faktisk reagere.
Hvor du placerer dette
Uanset om du selv falder ind under cybersikkerhedsloven eller påvirkes via en kunde, kommer spørgsmålet om hændelsesregistrering igen på næsten hver sikkerhedsspørgeskema. Et organiseret svar begynder med at vide, hvor du præcist står: se på et par spørgsmål, om og hvordan du berøres gør det klart på få minutter, uden at du har brug for en konto.
Vil du vide, hvordan sådan en registrering i praksis bliver til et levende dossier, med en status, et bevis og en ejer pr. foranstaltning? Lav det gratis NIS2-check eller læs videnbanken på secria.eu; begge kan læses uden konto.