Je to trvalá schopnost řízení rizik, nikoli pouze forenzní práce provedená po narušení.
Účinná reakce propojuje technické akce s vedením podniku, právními a regulačními povinnostmi, komunikací, bezpečností, kontinuitou a obnovou. Příprava je důležitá, protože incident je špatný okamžik zjistit, kdo může autorizovat zadržení, kde jsou uloženy důkazy nebo jak lze obnovit kritické služby.
Většina programů organizuje práci kolem uznaného životního cyklu — příprava; detekce a analýza; zadržení, eradikace a obnova; a poincidenční učení — a nacvičuje jej tabletop a funkčními cvičeními. Organizace bez interní hloubky často kupují reakční retainer, aby externí pomoc dorazila podle předem dohodnuté smlouvy, místo aby byla vyjednávána v nejhorších hodinách narušení.
Klíčové body
Před incidentemDefinujte role, eskalační cesty, komunikace, nakládání s důkazy, externí podporu a plány prověřené cvičením.
Během incidentuZjistěte fakta, posuďte dopad, zadržte škodu, zachovejte důkazy, komunikujte rozhodnutí a přizpůsobujte se měnícím znalostem.
Po zadrženíEradikujte zbývající přístup, bezpečně obnovte, monitorujte opakování a přeměňte ponaučení na zlepšení kontrol.
Důležité omezeníRychlé zadržení není vždy nejbezpečnější první akce; špatně koordinované změny mohou zničit důkazy nebo narušit základní operace.