Registracija incidenta je pregled što ste vodili o onome što se dogodilo, kada, u kojem sustavu i tko je bio uključen, od trenutka kad primijetite nešto neuobičajeno do trenutka kad je problem riješen. Za pružatelja ICT-usluga to znači u praksi: vrijeme prve prijave, koji su sustavi korisnika pogođeni, koji je zaposlanik ili poddobavljač u tom trenutku imao pristup, koji su koraci poduzeti i kada se situacija vratila u normalu.
Ova registracija sama po sebi nije zakonska obveza obavijesti — ta obveza vrijedi za organizacije koje same spadaju pod Zakon o kibernetskoj sigurnosti, ne nužno za njihove dobavljače. Ali korisnik koji je obvezan mora moći procijeniti svoju opskrbnu lanac, a to čini tako što vas pita kako bilježite incidente i kako ih dokazujete. Bez uređenog odgovora na to pitanje ugovor često ne ide dalje od prethodnog razgovora.
Zašto je to važno baš za pružatelje ICT-usluga
Instalacijska tvrtka ili savjetodavna agencija obično ima jednu okolinu za nadzor: svoju. Pružatelj ICT-usluga redovito radi u sustavima drugih, često na daljinu, ponekad s pravima upravljanja koja su dalekosežna. Ako nešto krene po zlu, pitanje nije samo što se dogodilo kod vas, već i što je pogođeno kod korisnika i može li se to povezati na sesiju, račun ili trenutak pristupa. Korisnici koji sami spadaju pod obvezu zaštite očekuju da vam možete pokazati tu povezanost, čak i ako se incident dogodio mjesecima prije.
Upravljanje na daljinu: što bilježite
Upravljanje na daljinu odnosi se na tri stvari koja se moraju zabilježiti odvojeno: tko je pokrenuo sesiju, sa kojeg računa ili radnog mjesta, i što je učinjeno u toj sesiji. Mnogi alati za daljinsko upravljanje to automatski zabilježavaju, ali bitno pitanje nije bilježi li alat nego može li vam to pokazati kad to korisnik ili nadzorni organ zatraži. Zasebna lista onoga što su korisnikove okoline dostupne na daljinu i tko ima pristup obično je već dovoljna da odgovorite na to pitanje bez zalaženja u tehniku.
Pristup korisničkim sustavima: odobren, korišten, oduzet
Pristup korisničkom sustavu obično nije stalno stanje već trenutak: netko dobije račun, koristi ga za zadatak, pa mu se pristup opet oduzme. Pri incidentu prvo pitanje često je tko je tada imao pristup, a ne tko je ikada imao pristup. Registar gdje je zapisano kada je pristup odobren i kada je oduzet omogućava da brzo i konkretno odgovorite na to pitanje. Ako nedostaje taj pregled, trebate ga rekonstruirati u trenutku kad već žuri, a to je upravo trenutak kad je to najtekavnije.
Podizvodači: lanac se ne zaustavlja na vama
Ako sami radite s poddobavljačem za dio upravljanja, pitanje se ne miče već se proširuje. Korisnik koji vašu rad procjenjuje želi znati može li se incident koji nastane kod vašeg poddobavljača vidjeti i kod vas, a ne tek naknadno kroz telefonski poziv. U praksi to znači da dogovori s poddobavljačima govore o rokovima obavijesti međusobno, i da vaša vlastita incidentna registracija pruža mogućnost označavanja koji je dio incidenta bio kod treće strane. po svakoj temi razradio što je relevantno za vašu situaciju daje dobar početak da vidite koja lanac-pitanja se tiču vaše vrste usluga.
Što je registracija jest a što nije
Evidencija incidenta je dokumentacija, ne odgovor. Radi se o tome što možete pokazati nakon što je nešto riješeno, a ne o tome kako brzo reagirate ili koje tehničke mjere poduzimate tijekom incidenta — potonje je posao timova za odgovore na incidente, SOC-ova i forenzičnih islednika, i to je izričito izvan dosega ovog članka ili secria.eu. Ono što mi činimo je jasnoća pregleda: koja mjera pripada kojem dokazu, i tko je u vašoj organizaciji odgovoran za to. odgovori na pitanja koja MKB-dobavljači često postavljaju pokazuje gdje se provlači granica između dokumentiranja i stvarnog odgovora.
Gdje to smještate
Bez obzira padali li sami pod Zakon o kibernetskoj sigurnosti ili ste zahvaćeni kroz klijenta, pitanje o evidenciji incidenta pojavljuje se u gotovo svakoj listi sigurnosnih pitanja. Uredan odgovor počinje znanjem točno gdje stojite: u nekoliko pitanja vidjeti je li i kako ste pogođeni čini to jasnim u nekoliko minuta, bez da vam je potreban račun.
Želite li znati kako se takva evidencija u praksi pretvara u živi dossier, sa statusom, dokazom i vlasnikom po mjeri? Napravite besplatnu NIS2-provjeru ili pročitajte bazu znanja na secria.eu; oboje je dostupno bez računa.