Registracija incidenta je pregled, ki ga vzdržujete o tem, kaj se je zgodilo, kdaj, v katerem sistemu in kdo je bil vključen, od trenutka, ko opazite kaj nenavadnega, do trenutka, ko je rešeno. Za ponudnika IT-storitev to konkretno pomeni: čas prve prijave, kateri sistemi stranke so bili prizadeti, kateri zaposleni ali podizvajalec je imel v tistem času dostop, katere korake ste naredili in kdaj je bila situacija spet normalna.
Ta registracija ni sama po sebi zakonska obveznost prijave — ta velja za organizacije, ki same spadajo pod Zakon o kibernetski varnosti, ne avtomatično za njihove dobavitelje. Vendar mora stranka, ki je sama zavezana, znati oceniti svojo dobaviteljsko verigo, in to naredi tako, da vas vpraša, kako beležite incidente in jih dokazljivo dokumentirate. Brez urejenega odgovora na to vprašanje pogodba pogosto ne napreduje dlje od začetne ocene.
Zakaj to ravno pri ponudnikih IT-storitev igra vlogo
Instalacijsko podjetje ali svetovalnica običajno spremljata eno okolje: lastno. Ponudnik IT-storitev strukturno deluje v sistemih drugih, pogosto na daljavo, včasih s pravicami upravljanja, ki segajo daleč. Če se tam kaj ne godi po pričakovanjih, vprašanje ni samo, kaj se je zgodilo pri vas, ampak tudi kaj se je zgodilo pri stranki in ali je to mogoče povezati s sejo, računom ali trenutkom dostopa. Stranke, ki same spadajo pod obveznost skrbi, pričakujejo, da lahko pokažete to sledljivost, tudi če je bil incident pred meseci.
Upravljanje na daljavo: kaj beležite
Pri upravljanju na daljavo gre za tri stvari, ki jih je treba ločeno ugotoviti: kdo je sejo zagnal, s katerega računa ali katere delovne postaje in kaj je bilo storjeno v tej seji. Mnoga orodja za upravljanje na daljavo to samodejno beležijo, vendar vprašanje, ki šteje, ni, ali orodje to beleži, ampak ali lahko pokažete to beleženje, ko vas o to prosi stranka ali nadzornik. Ločen seznam, ki beleži, do katerih strank okolij je na daljavo dostop mogoč in kdo jih lahko dostopa, je pogosto že dovolj, da odgovorite na to vprašanje, ne da bi se morali poglabljati v tehniko.
Dostop do strank sistemov: podeljen, uporabljen, odvzet
Dostop do strank sistema običajno ni stalna stanja, ampak trenutek: nekdo dobi račun, ga uporabi za nalogo in dostop mu je ponovno odvzet. Pri incidentu je prvo vprašanje pogosto, kdo je imel dostop v tistem trenutku, ne pa, kdo je kdaj imel dostop. Register, ki beleži, kdaj je dostop podeljen in kdaj je ponovno odvzet, omogoči, da na to vprašanje hitro in konkretno odgovorite. Če to pregledno manjka, ga morate rekonstruirati v trenutku, ko že žuri, in to je ravno trenutek, ko je to najtežje.
Podizvajalci: veriga se ne konča pri vas
Če sami za del upravljanja delujete s podizvajalcem, se vprašanje ne premakne, ampak se razteza. Stranka, ki ocenjuje vašo delo, želi vedeti, ali se incident, ki nastane pri vašem podizvajalcu, tudi pri vas vidi, in ne šele pozneje po telefonu. Praktično to pomeni, da dogovori s podizvajalci govorijo kaj o rokih medsebojnega obveščanja in da vaša lastna registracija incidentov omogoči, da navedete, kateri del incidenta je bil pri tretji stranki. za vsakega predmeta posebej preiskati, kaj je relevantno za vašo situacijo daje dobro izhodišče, da vidite, katera vprašanja dobaviteljske verige spadajo k vašem tipu storitve.
Kaj je registracija in kaj ni
Registracija incidentov je dokumentacija, ne odziv. Gre za to, kaj lahko pokažete, potem ko je kaj rešeno, ne pa o tem, kako hitro se odzovete ali katere tehnične ukrepe uporabite med incidentom — slednje je delo ekip za odziv na incidente,SOC-ov in forenzičnih preiskovalcev, in to eksplicitno ni predmet tega članka ali platforme secria.eu. Kar dejansko počnemo, je razjasnitev pregleda: kateri ukrep pripada kateremu dokaznemu gradivu in kdo v vaši organizaciji je zanj odgovoren. odgovori na vprašanja, ki jih pogosto postavljajo mikro, mala in srednja podjetja — dobavitelji pokažite, kje je meja med dokumentiranjem in dejanskim odzivom.
Kje to postavite
Ne glede na to, ali sami spadate pod zakon o kibernetski varnosti ali vas doseže preko stranke, se vprašanje o registraciji incidentov pojavlja pri skoraj vsakem vprašalniku o varnosti informacijskih sistemov. Urejeni odgovor se začne s tem, da veste, kje natanko stojite: na nekaj vprašanj videti, ali in kako ste prizadeti to pojasni v nekaj minutah, brez da bi potrebovali račun.
Želite vedeti, kako se takšna registracija v praksi spremeni v živi dosje s stanjem, dokaznim gradivom in lastnikom za vsak ukrep? Opravite brezplačno preverjanje NIS2 ali preberite bazo znanja na secria.eu; oboje je dostopno brez računa.