Una registrazione degli incidenti è il registro che mantenete di ciò che è accaduto, quando, in quale sistema e chi era coinvolto, dal momento in cui notate qualcosa di insolito fino al momento in cui il problema è risolto. Per un fornitore di servizi ICT, questo significa concretamente: l'orario della prima segnalazione, quali sistemi del cliente sono stati interessati, quale dipendente o subappaltatore aveva accesso in quel momento, quali misure sono state adottate, e quando la situazione era tornata alla normalità.
Questa registrazione non è un obbligo di segnalazione legale in sé — quello vale per le organizzazioni che ricadono esse stesse sotto la legge sulla sicurezza informatica, non automaticamente per i loro fornitori. Ma un cliente che è soggetto all'obbligo deve essere in grado di valutare la propria catena di approvvigionamento, e lo fa chiedendovi come annotate gli incidenti e li rendete documentabili. Senza una risposta ordinata a questa domanda, un contratto spesso non va oltre la fase di valutazione iniziale.
Perché questo è particolarmente rilevante per i fornitori di servizi ICT
Un'azienda di installazione o una società di consulenza di solito ha un solo ambiente da monitorare: il proprio. Un fornitore di servizi ICT opera strutturalmente nei sistemi di altri, spesso a distanza, talvolta con diritti di amministrazione molto ampi. Se qualcosa va storto, la domanda non è solo cosa è accaduto da voi, ma anche cosa è stato interessato presso il cliente e se può essere ricondotto a una sessione, un account o un momento di accesso. I clienti che ricadono loro stessi sotto l'obbligo di diligenza si aspettano che possiate dimostrare quella tracciabilità, anche se l'incidente si è verificato mesi fa.
Amministrazione a distanza: cosa annotate
Per l'amministrazione a distanza si tratta di tre cose che devono essere individuate separatamente: chi ha avviato la sessione, da quale account o quale postazione di lavoro, e cosa è stato fatto in quella sessione. Molti strumenti di amministrazione remota lo registrano automaticamente, ma la domanda che conta non è se lo strumento lo registra, ma se voi potete mostrare quella registrazione quando un cliente o un'autorità di vigilanza ve lo chiede. Mantenere un elenco separato degli ambienti del cliente accessibili a distanza e da chi, è spesso già sufficiente per rispondere a quella domanda senza dover scavare nella tecnologia.
Accesso ai sistemi dei clienti: concesso, utilizzato, revocato
L'accesso a un sistema cliente di solito non è uno stato permanente ma un momento: qualcuno riceve un account, lo utilizza per un compito, e l'accesso viene revocato. In caso di incidente, la prima domanda è spesso chi aveva accesso in quel momento, non chi ha mai avuto accesso. Un registro che mostra quando l'accesso è stato concesso e quando è stato revocato consente di rispondere a quella domanda rapidamente e concretamente. Se manca questa panoramica, dovete ricostruirla nel momento in cui c'è già fretta, e proprio questo è il momento in cui è più difficile farlo.
Subfornitori: la catena non si ferma a voi
Se lavorate con un subappaltatore per parte dell'amministrazione, la domanda non cambia, si estende. Un cliente che valuta il vostro lavoro vuole sapere se un incidente che si origina presso il vostro subappaltatore è visibile anche a voi, e non solo successivamente tramite una telefonata. Praticamente, questo significa che gli accordi con i subappaltatori dicono qualcosa sui termini di segnalazione reciproca, e che la vostra stessa registrazione degli incidenti lascia spazio per indicare quale parte di un incidente fosse attribuibile a una terza parte. per ogni argomento verificato cosa è rilevante per la vostra situazione fornisce un buon punto di partenza per vedere quali domande sulla catena di approvvigionamento si applicano al vostro tipo di servizio.
Cosa è e cosa non è una registrazione
Una registrazione di incidente è una documentazione, non una risposta. Riguarda ciò che potete dimostrare dopo che qualcosa è stato risolto, non la velocità con cui rispondete o quali misure tecniche implementate durante un incidente — quest'ultimo è compito dei team di risposta agli incidenti, dei SOC e degli investigatori forensi, e non è affatto l'argomento di questo articolo o di secria.eu. Quello che facciamo noi è chiarire il quadro: quale misura corrisponde a quale prova, e chi all'interno della vostra organizzazione ne è responsabile. risposte alle domande che i fornitori PMI pongono frequentemente mostra dove si traccia il confine tra documentazione e risposta effettiva.
Dove lo collocate
Che ricadiate direttamente sotto la legge sulla cibersicurezza o siate interessati attraverso un cliente, la domanda sulla registrazione degli incidenti compare in quasi ogni questionario sulla sicurezza informatica. Una risposta ordinata inizia sapendo esattamente dove vi trovate: in poche domande vedere se e come siete interessati chiarisce ciò in pochi minuti, senza che abbiate bisogno di un account.
Volete sapere come una registrazione del genere diventa un fascicolo dinamico nella pratica, con uno stato, una prova e un proprietario per ogni misura? Eseguite il controllo NIS2 gratuito o consultate la knowledge base su secria.eu; entrambi sono consultabili senza account.