Um registo de incidentes é o resumo que mantém do que aconteceu, quando, em qual sistema e quem estava envolvido, desde o momento em que deteta algo anómalo até ao momento em que é resolvido. Para um prestador de serviços ICT, isto significa concretamente: a hora do primeiro aviso, quais os sistemas do cliente afetados, qual colaborador ou subcontratado tinha acesso nessa altura, quais os passos dados, e quando a situação voltou ao normal.
Este registo não é por si só uma obrigação legal de comunicação — essa aplica-se a organizações que se enquadram na Lei de Cibersegurança, não automaticamente aos seus fornecedores. Mas um cliente que seja efetivamente obrigado deve poder avaliar a sua cadeia de fornecimento, e fá-lo pedindo-lhe como registra incidentes e os torna comprovável. Sem uma resposta estruturada a esta pergunta, um contrato frequentemente não avança além da fase inicial.
Por que razão isto é particularmente relevante para prestadores de serviços ICT
Uma empresa de instalação ou um bureau de consultoria tem geralmente um único ambiente a monitorizar: o seu próprio. Um prestador de serviços ICT trabalha estruturalmente nos sistemas de outros, frequentemente à distância, por vezes com direitos de administrador bastante amplos. Se algo corre mal, a questão não é apenas o que aconteceu na sua organização, mas também o que afetou o cliente e se isso pode ser rastreado até uma sessão, uma conta ou um momento de acesso. Clientes que se enquadram na obrigação de diligência esperam que possa demonstrar esse rastreamento, mesmo que o incidente ocorreu meses atrás.
Administração remota: o que registar
Na administração remota trata-se de três coisas que têm de ser separadamente identificáveis: quem iniciou a sessão, a partir de qual conta ou estação de trabalho, e o que foi feito nessa sessão. Muitas ferramentas de administração remota registam isto automaticamente, mas a questão que conta não é se a ferramenta o faz, mas se consegue mostrar esse registo quando um cliente ou uma autoridade de supervisão o solicita. Manter uma lista separada dos ambientes de cliente acessíveis remotamente, e por quem, é frequentemente já suficiente para responder a esta pergunta sem necessidade de se aprofundar na tecnologia.
Acesso a sistemas de cliente: concedido, utilizado, revogado
O acesso a um sistema de cliente é geralmente não um estado permanente mas um momento: alguém recebe uma conta, usa-a para uma tarefa, e o acesso é depois revogado. Num incidente, a primeira pergunta é frequentemente quem tinha acesso naquele momento, não quem teve alguma vez acesso. Um registo que indique quando o acesso foi concedido e quando foi revogado, permite responder a essa pergunta rápida e concretamente. Se falta este resumo, tem de o reconstruir no momento em que já há pressa, e é precisamente nesse momento que fica mais difícil.
Subcontratados: a cadeia não termina em si
Se trabalha com um subcontratado para parte da administração, a pergunta não se desloca, alonga-se. Um cliente que avalia o seu trabalho quer saber se um incidente que ocorre no seu subcontratado também lhe é visível, e não apenas depois através de um telefonema. Na prática, isto significa que os acordos com subcontratados especificam prazos de comunicação entre si, e que o seu próprio registo de incidentes deixa espaço para indicar qual a parte do incidente que foi atribuível a terceiros. analisado por tema o que é relevante para a sua situação fornece um bom ponto de partida para ver quais as questões da cadeia de fornecimento se aplicam ao seu tipo de serviço.
O que um registo é e o que não é
Um registo de incidente é um registo, não uma resposta. Refere-se ao que pode demonstrar após a resolução de um problema, não à rapidez com que responde ou quais medidas técnicas implementa durante um incidente — isto último é o trabalho de equipas de resposta a incidentes, SOC's e investigadores forenses, e é expressamente fora do âmbito deste artigo e do secria.eu. O que fazemos é tornar a visão geral clara: qual medida corresponde a qual prova, e quem dentro da sua organização é responsável por isso. respostas a perguntas que fornecedores de PME frequentemente fazem mostra onde está o limite entre o registo e a resposta efetiva.
Onde colocar isto
Quer esteja sujeito à Cyberbeveiligingswet ou seja afetado através de um cliente, a questão sobre registo de incidentes aparece em quase todas as listas de verificação de segurança. Uma resposta organizada começa por saber exatamente onde se encontra: em algumas perguntas, ver se e como você é afetado torna isso claro em poucos minutos, sem necessidade de uma conta.
Deseja saber como um registo assim se torna na prática um dossier permanente, com um estado, uma prova e um responsável por medida? Faça a verificação gratuita NIS2 ou consulte a base de conhecimento em secria.eu; ambas podem ser consultadas sem conta.