Rejestracja incydentu to przegląd, który prowadzisz z informacją o tym, co się stało, kiedy, w którym systemie i kto był zaangażowany — od momentu zauważenia czegoś nieprawidłowego do momentu, gdy problem jest rozwiązany. Dla dostawcy usług ICT oznacza to konkretnie: chwilę pierwszego zgłoszenia, które systemy klienta zostały dotknięte, którzy pracownicy lub podwykonawcy mieli wówczas dostęp, jakie kroki podjęto i kiedy sytuacja wróciła do normy.
Ta rejestracja nie jest sama w sobie obowiązkiem sprawozdawczym wynikającym z ustawy — obowiązek ten dotyczy organizacji, które same podlegają ustawie o cyberbezpieczeństwie, a nie automatycznie ich dostawców. Ale klient, który podlega obowiązkowi, musi być w stanie ocenić swoją łańcuch dostaw, a robi to, pytając ciebie, jak dokumentujesz incydenty i je wykazujesz. Bez uporządkowanej odpowiedzi na to pytanie umowa często nie wychodzi poza etap wstępny.
Dlaczego to akurat dotyczy dostawców usług ICT
Firma zajmująca się instalacją lub biuro doradcze zazwyczaj ma jedno środowisko do monitorowania: własne. Dostawca usług ICT strukturalnie pracuje w systemach innych, często zdalnie, czasem z uprawnieniami administracyjnymi, które sięgają daleko. Gdy coś tam pójdzie nie tak, pytanie brzmi nie tylko co się stało u ciebie, ale też co dotknęło klienta i czy można to powiązać z sesją, kontem lub momentem dostępu. Klienci, którzy sami podlegają obowiązkowi nadzoru, oczekują, że pokażesz tę przywodzalność, nawet jeśli incydent miał miejsce wiele miesięcy temu.
Zarządzanie zdalne: co dokumentujesz
W przypadku zarządzania zdalnego chodzi o trzy rzeczy, które muszą być oddzielnie możliwe do ustalenia: kto rozpoczął sesję, z jakiego konta lub jakich urządzeń, i co zostało wykonane w ramach tej sesji. Wiele narzędzi zdalnego zarządzania automatycznie to rejestruje, ale ważne pytanie nie dotyczy tego, czy narzędzie rejestruje, ale czy możesz pokazać tę rejestrację, gdy klient lub organ nadzoru o to poprosi. Prowadzenie osobnej listy tego, które środowiska klienta są dostępne zdalnie i przez kogo, często wystarczy, aby odpowiedzieć na to pytanie bez wgłębiania się w techniczne szczegóły.
Dostęp do systemów klienta: udzielony, wykorzystany, cofnięty
Dostęp do systemu klienta zwykle nie jest stanem trwałym, lecz momentem: ktoś otrzymuje konto, używa go do zadania, a następnie dostęp jest cofnięty. W przypadku incydentu pierwszym pytaniem jest często kto miał dostęp w tym momencie, a nie kto kiedykolwiek miał dostęp. Rejestr, w którym zapisane jest, kiedy dostęp został udzielony i kiedy został cofnięty, umożliwia szybko i konkretnie odpowiedzieć na to pytanie. Brak tego przeglądu oznacza, że musisz go odtworzyć w momencie, gdy już jest pośpiech, a to dokładnie moment, kiedy jest to najtrudniejsze.
Podwykonawcy: łańcuch nie kończy się u Państwa
Jeśli sam pracujesz z podwykonawcą na część zarządzania, pytanie się nie zmienia, tylko się wydłuża. Klient, który ocenia twoją pracę, chce wiedzieć, czy incydent, który powstał u twojego podwykonawcy, jest również widoczny dla ciebie, a nie dopiero dowiadujesz się o tym telefonicznie. Praktycznie oznacza to, że umowy z podwykonawcami zawierają coś w kwestii wewnętrznych terminów zgłaszania, a twoja własna rejestracja incydentów pozwala wskazać, jaka część incydentu przypadła stronie trzeciej. dla każdego zagadnienia zbadane, co jest istotne dla twojej sytuacji stanowi dobry punkt wyjścia, aby zobaczyć, jakie pytania łańcucha dostaw dotyczą twojego typu usługi.
Co rejestracja jest, a czym nie jest
Rejestracja incydentu to dokumentacja, a nie reagowanie. Chodzi o to, co można wykazać po rozwiązaniu problemu, a nie o szybkość reagowania lub jakie środki techniczne wdraża się podczas incydentu — to ostatnie jest pracą zespołów reagowania na incydenty, SOC-ów i badaczy sądowych, i to wyraźnie nie jest przedmiotem tego artykułu ani secria.eu. To, co robimy, to wyjaśnienie przeglądu: która miara odpowiada któremu dowodowi, i kto w Twojej organizacji jest za to odpowiedzialny. odpowiedzi na pytania, które często zadają dostawcy z sektora MKB pokazuje, gdzie leży granica między dokumentacją a faktycznym reagowaniem.
Gdzie to umieszczasz
Niezależnie od tego, czy sam podlegasz Ustawie o cyberbezpieczeństwie, czy jesteś dotknięty poprzez klienta, pytanie dotyczące rejestracji incydentów pojawia się w prawie każdej liście kontrolnej bezpieczeństwa. Uporządkowana odpowiedź zaczyna się od wiedzy, gdzie dokładnie stoisz: w kilku pytaniach zobaczyć, czy i jak jesteście objęci wyjaśnia to w kilka minut, bez konieczności posiadania konta.
Chcesz wiedzieć, jak taka rejestracja w praktyce staje się żywą dokumentacją, ze statusem, dowodem i właścicielem dla każdego środka? Wykonaj bezpłatną kontrolę NIS2 lub przeczytaj bazę wiedzy na secria.eu; obydwie można konsultować bez konta.