O înregistrare a incidentelor este prezentarea pe care o menține a ceea ce s-a întâmplat, când, în ce sistem și cine a fost implicat, de la momentul în care observați ceva neobișnuit până la rezolvare. Pentru un furnizor de servicii TIC, aceasta înseamnă concret: momentul primei sesizări, care sisteme ale clientului au fost afectate, care angajat sau subcontractor avea acces la acel moment, ce pași au fost întreprinși și când s-a normalizat situația.
Această înregistrare nu este o obligație de notificare legală în sine — aceasta se aplică organizațiilor care sunt ele însele supuse legii privind securitatea cibernetică, nu automat furnizorilor lor. Dar un client care este obligat trebuie să poată evalua propriul lanț de aprovizionare, și o face cerând cum documentați incidentele și le faceți demonstrabile. Fără un răspuns bine organizat la această întrebare, un contract ajunge adesea doar la etapa de evaluare inițială.
De ce aceasta se aplică tocmai furnizorilor de servicii TIC
O companie de instalații sau un birou de consultanță au de obicei un singur mediu de monitorizat: propriul lor. Un furnizor de servicii TIC lucrează structuralmente în sistemele altora, adesea la distanță, uneori cu drepturi de administrator care se extind pe larg. Dacă ceva nu merge acolo, întrebarea nu este doar ce s-a întâmplat la dumneavoastră, ci și ce a fost afectat la client și dacă aceasta poate fi urmărită până la o sesiune, un cont sau un moment de acces. Clienții care sunt ei înșiși supuși obligației de diligență se așteaptă să puteți arăta această urmăribilitate, chiar dacă incidentul a avut loc cu luni în urmă.
Administrare la distanță: ce documentați
La administrarea la distanță este vorba despre trei lucruri care trebuie să fie distinct identificabile: cine a inițiat sesiunea, de pe care cont sau stație de lucru, și ce s-a făcut în acea sesiune. Multe instrumente de administrare la distanță înregistrează aceasta automat, dar întrebarea care contează nu este dacă instrumentul înregistrează, ci dacă puteți arăta acea înregistrare atunci când un client sau un autoritate de supraveghere o solicită. Menținerea unei liste separate a mediilor clienților accesibile la distanță și cine are acces este adesea suficientă pentru a răspunde la această întrebare fără a trebui să aprofundezi aspectele tehnice.
Acces la sistemele clienților: acordat, utilizat, retras
Accesul la un sistem client nu este de obicei o stare permanentă ci un moment: cineva primește un cont, îl folosește pentru o sarcină, și accesul este retras din nou. La un incident, prima întrebare este adesea cine avea acces la acel moment, nu cine a avut vreodată acces. Un registru care arată când a fost acordat accesul și când a fost retras face posibil răspunderea la această întrebare rapid și concret. Dacă lipsește această prezentare, trebuie s-o reconstruiți la momentul în care deja graba este mare, și acela este exact momentul în care este cel mai dificil.
Subcontractanți: lanțul nu se oprește la dumneavoastră
Dacă lucrați cu un subcontractor pentru o parte a administrării, întrebarea nu se schimbă, se extinde. Un client care vă evaluează munca vrea să știe dacă un incident care apare la subcontractorul dumneavoastră devine de asemenea vizibil pentru dumneavoastră, și nu doar mai târziu prin apel telefonic. Din punct de vedere practic, aceasta înseamnă că acordurile cu subcontractorii spun ceva despre termene de sesizare reciprocă, și că propria înregistrare de incidente a dumneavoastră lasă loc pentru a indica ce parte a unui incident a fost responsabilitatea unei terțe părți. Conform subiectului lucrat ceea ce este relevant pentru situația dumneavoastră oferă un punct de plecare bun pentru a vedea care întrebări din lanț aparțin tipului dumneavoastră de serviciu.
Ce este și ce nu este o înregistrare
O înregistrare de incident este o documentare, nu un răspuns. Este vorba despre ceea ce puteți demonstra după ce ceva a fost rezolvat, nu despre viteza cu care răspundeți sau ce măsuri tehnice implementați în timpul unui incident — aceasta din urmă este sarcina echipelor de răspuns la incidente, al SOC-urilor și al cercetătorilor forenzici, și acest lucru nu este deloc scopul acestui articol sau al secria.eu. Ceea ce facem noi este să clarificăm tabloul general: ce măsură corespunde căror probe, și cine din cadrul organizației dvs. este responsabil pentru aceasta. răspunsuri la întrebări pe care furnizorii din IMM-uri le pun frecvent arată unde se află granița între documentare și răspuns efectiv.
Unde o organizați
Indiferent dacă sunteți dvs. însuși supus Legii de securitate cibernetică sau sunteți afectat prin intermediul unui client, întrebarea privind înregistrarea incidentelor apare în aproape fiecare chestionar de securitate. Un răspuns ordonat începe prin a ști exact unde vă aflați: într-o serie de câteva întrebări dacă și cum sunteți afectați face clar aceasta în câteva minute, fără a fi nevoie de un cont.
Doriți să aflați cum o astfel de înregistrare devine în practică un dosar viu, cu o stare, o probă și un proprietar pentru fiecare măsură? Faceți verificarea NIS2 gratuită sau citiți baza de cunoștințe pe secria.eu; ambele pot fi consultate fără cont.