Beslutningerne bliver truffet under pres
En sikkerhedshændelse er ikke et spørgsmål om hvis. Den er et spørgsmål om hvornår.
Uden en plan bliver de første og mest kritiske beslutninger truffet under maksimalt pres af folk, der aldrig har prøvet det før. Skal serveren slukkes? Hvem ringer vi til? Må vi slette noget? Resultatet er som regel ødelagte beviser, længere nedetid og en større regning.
Med en plan ved alle, hvad deres rolle er, hvem der har mandat til at beslutte, og hvilke skridt der kommer i hvilken rækkefølge.
De seks faser
Den udbredte model, som både NIST og SANS bygger på, deler forløbet sådan her.
- Forberedelse. IR-plan, roller, kontaktlister, logning, backups og øvelser. Alt det, der skal være på plads før hændelsen.
- Detektion og analyse. Opdag hændelsen, for eksempel via SIEM eller XDR, vurdér omfang og alvor, og afgør om det er en reel hændelse.
- Inddæmning. Stop spredningen. Isolér systemer og konti uden at ødelægge beviser.
- Udryddelse. Fjern årsagen. Malware, kompromitterede konti, den sårbarhed der gav adgang.
- Genopretning. Bring systemerne kontrolleret tilbage i drift, og hold øje med tilbagefald.
- Læring. Evaluér forløbet, opdatér planen, og luk de huller hændelsen afslørede.
Det planen skal indeholde
Definerede roller og beslutningsmandater. En eskalationskæde med kontaktoplysninger, også uden for arbejdstid. Klassificering af hændelsestyper og alvorlighed. Konkrete playbooks for de mest sandsynlige scenarier, typisk ransomware, kompromitteret mailkonto og datalæk. Krav til bevissikring og logning. Og skabeloner til intern og ekstern kommunikation.
Planen skal kunne bruges af et menneske under pres. En kort tjekliste slår et langt politikdokument hver gang.
NIS2 sætter uret i gang
NIS2-loven gør hændelseshåndtering til et eksplicit krav og sætter skarpe frister. En tidlig varsling skal afgives inden for 24 timer efter, at en væsentlig hændelse er konstateret. Derefter følger en uddybende underretning inden for 72 timer og til sidst en afsluttende rapport. I Danmark håndteres indberetningerne af den nationale CSIRT hos Forsvarets Efterretningstjeneste.
Fristerne betyder, at detektion, vurdering og rapporteringsproces skal være på plads på forhånd. 24 timer er ikke lang tid, hvis processen skal opfindes, mens det brænder.
Står I midt i det nu, så ring. Vi tager akutte sager under akut it-sikkerhedshændelse.