Hvorfor er incident response vigtigt?
En sikkerhedshændelse er ikke et spørgsmål om hvis, men hvornår. Uden en plan træffes de første, mest kritiske beslutninger — skal serveren slukkes? hvem ringer vi til? må vi slette noget? — under maksimalt pres af personer, der aldrig har prøvet det før. Det fører typisk til ødelagte beviser, længere nedetid og større omkostninger.
Med en plan ved alle, hvad deres rolle er, hvem der har mandat til at beslutte, og hvilke skridt der kommer i hvilken rækkefølge.
Hvad er de seks faser i incident response?
Den mest udbredte model (baseret på NIST og SANS) deler forløbet i seks faser:
- Forberedelse: IR-plan, roller, kontaktlister, logning, backups og øvelser — alt det, der skal være på plads før hændelsen.
- Detektion og analyse: Opdag hændelsen (fx via SIEM/XDR), vurdér omfang og alvor, og afgør om det er en reel hændelse.
- Inddæmning: Stop spredningen — isolér systemer og konti uden at ødelægge beviser.
- Udryddelse: Fjern årsagen: malware, kompromitterede konti, sårbarheden der gav adgang.
- Genopretning: Bring systemer kontrolleret tilbage i drift og overvåg for tilbagefald.
- Læring: Evaluér forløbet, opdatér planen og luk de huller, hændelsen afslørede.
Hvad skal en incident response-plan indeholde?
Som minimum: definerede roller og beslutningsmandater, en eskalationskæde med kontaktoplysninger (også uden for arbejdstid), klassificering af hændelsestyper og alvorlighed, konkrete playbooks for de mest sandsynlige scenarier (ransomware, kompromitteret mailkonto, datalæk), krav til bevissikring og logning, samt skabeloner til intern og ekstern kommunikation.
Planen skal kunne bruges af et menneske under pres — korte tjeklister slår lange politikdokumenter.
Hvilke krav stiller NIS2 til hændelseshåndtering?
NIS2-loven gør hændelseshåndtering til et eksplicit krav og sætter skarpe frister for underretning: En tidlig varsling skal afgives inden for 24 timer efter, at en væsentlig hændelse er konstateret, fulgt af en mere uddybende underretning inden for 72 timer og en afsluttende rapport. I Danmark håndteres indberetninger af den nationale CSIRT hos Forsvarets Efterretningstjeneste.
Fristerne betyder i praksis, at detektion, vurdering og rapporteringsproces skal være på plads på forhånd — 24 timer er meget kort tid, hvis man først skal opfinde processen, mens det brænder.