En incidentregistrering är en sammanfattning som du håller uppdaterad över vad som hände, när det hände, i vilket system och vilka som var inblandade, från det ögonblick du märker något onormalt tills problemet är löst. För en ICT-tjänstleverantör innebär detta konkret: tidpunkten för första anmälan, vilka av kundens system som drabbades, vilken medarbetare eller underleverantör som hade åtkomst vid det tillfället, vilka åtgärder som vidtogs och när situationen normaliserats.
Denna registrering är ingen lagstadgad anmälningsplikt i sig — det gäller för organisationer som själva omfattas av cyberlagstiftningen, inte automatiskt för deras leverantörer. Men en kund som själv är skyldig måste kunna bedöma sin egen försörjningskedja, och det gör han genom att fråga dig hur du dokumenterar incidenter och gör det verifierbart. Utan ett ordnat svar på den frågan kommer ett kontrakt ofta inte längre än till intakefasen.
Varför detta är särskilt aktuellt för ICT-tjänstleverantörer
Ett installationsföretag eller ett konsultbyrå har vanligtvis en miljö att övervaka: sin egen. En ICT-tjänstleverantör arbetar systematiskt i andra organisationers system, ofta på distans, ibland med administratörrättigheter som sträcker sig långt. Om något går fel där är frågan inte bara vad som hände hos dig utan också vad som drabbade kunden och om det kan spåras till en session, ett konto eller ett åtkomstögonblick. Kunder som själva omfattas av säkerhetskraven förväntar sig att du kan visa denna spårbarhet, även om incidenten inträffade för månader sedan.
Fjärrhantering: vad du dokumenterar
Fjärrhantering handlar om tre saker som måste kunna klarläggas separat: vem som startade sessionen, från vilket konto eller vilken arbetsstation, och vad som gjordes i den sessionen. Många fjärrhanteringsverktyg loggar detta automatiskt, men den avgörande frågan är inte om verktyget loggar det utan om du kan visa loggen när en kund eller tillsynsmyndighet frågar efter det. En separat lista över vilka kundmiljöer som är fjärrtillgängliga och av vem är ofta redan tillräckligt för att svara på den frågan utan att behöva gräva i tekniken.
Åtkomst till kundsystem: beviljad, använd, återkallad
Åtkomst till ett kundsystem är vanligtvis inte ett permanent tillstånd utan ett tillfälle: någon får ett konto, använder det för en uppgift och åtkomsten återkallas. Vid en incident är den första frågan ofta vem som hade åtkomst just då, inte vem som någonsin har haft åtkomst. Ett register som visar när åtkomst beviljades och när den återkallades gör det möjligt att snabbt och konkret svara på den frågan. Utan den överblicken måste du rekonstruera den i efterhand just när tiden är knapp, och det är ju precis det ögonblick då det är svårast.
Underleverantörer: kedjan slutar inte hos er
Om du själv arbetar med en underleverantör för en del av hanteringen förskjuts frågan inte, den förlängs. En kund som bedömer ditt arbete vill veta om en incident som uppstår hos din underleverantör också blir synlig för dig och inte först senare via ett telefonsamtal. Praktiskt innebär detta att avtal med underleverantörer säger något om meddelandetider mellan er, och att din egen incidentregistrering lämnar utrymme för att ange vilken del av en incident som låg hos en tredje part. granskat separat vad som är relevant för din situation ger en bra utgångspunkt för att se vilka försörjningskedjefrågor som hör till din typ av tjänst.
Vad en registrering är och inte är
En incidentregistrering är en dokumentation, ingen respons. Det handlar om vad ni kan visa efter att något är löst, inte om hur snabbt ni reagerar eller vilka tekniska åtgärder ni använder under en incident — det senare är arbete för incidentresponsteam, SOC:ar och forensiska undersökare, och det är absolut inte vad denna artikel eller secria.eu handlar om. Det vi gör är att göra överblicken tydlig: vilken åtgärd hör till vilket bevisstycke, och vem inom er organisation är ansvarig för det. svar på frågor som små och medelstora leverantörer ofta ställer visar var gränsen går mellan att dokumentera och att faktiskt reagera.
Där ni placerar detta
Oavsett om ni själva omfattas av cybersäkerhetslagen eller påverkas via en kund, återkommer frågan om incidentregistrering i praktiskt taget varje säkerhetsfrågeformulär. En strukturerad besvarelse börjar med att veta exakt var ni står: se i ett par frågor om och hur du påverkas gör det klart på några minuter, utan att ni behöver något konto.
Vill ni veta hur en sådan registrering i praktiken blir ett levande register, med en status, ett bevisstycke och en ansvarig per åtgärd? Gör det kostnadsfria NIS2-testet eller läs kunskapsdatabasen på secria.eu; båda kan nås utan konto.