Основи повідомлення про інциденти

Що таке Основи повідомлення про інциденти?

Повідомлення, подане за перші п'ятнадцять хвилин, цінніше за криміналістичне розслідування, яке почали через три дні, а найважче — вирішити, чи варто взагалі про це повідомляти. Ця вправа тренує саме таку оцінку. Автоматичне сповіщення показує успішний вхід у ваш обліковий запис о 03:47 з міста, де ви ніколи не бували. Ви називаєте деталі, через які це серйозно, повідомляєте на порталі інцидентів про несанкціонований доступ і змінюєте пароль, поки служба безпеки реагує.

Що ви дізнаєтесь у Основи повідомлення про інциденти

• Відрізняйте звичайну подію безпеки від інциденту, про який треба повідомити, і дійте, не чекаючи певності
• Критично читайте сповіщення про вхід: за часом, місцем і тим, вдалий вхід чи ні, оцінюйте, наскільки це серйозно
• Вибирайте правильну категорію інциденту, щоб повідомлення одразу потрапило до потрібної команди
• Пишіть звіт про інцидент із фактами й деталями, потрібними службі безпеки для швидкого первинного розбору
• Одночасно з повідомленням робіть негайний крок до локалізації — замініть скомпрометовані облікові дані

Основи повідомлення про інциденти — Кроки навчання

1. Незвичне сповіщення

   Звичайний ранок четверга. Серед пошти, що надійшла за ніч, — автоматичне сповіщення від систем ClearView: хтось увійшов у ваш обліковий запис з місця, де ви ніколи не бували.

2. Аналіз сповіщення

   Аліса уважно читає сповіщення. Кілька деталей її насторожують.

3. Рішення повідомити

   Аліса згадує навчання з безпеки. Інцидент безпеки — це будь-яка подія, яка може поставити під загрозу конфіденційні дані, відкрити шлях до несанкціонованого доступу, завадити роботі компанії або порушити політики безпеки. Підозрілий вхід явно підпадає під це визначення. Аліса вирішує негайно повідомити про нього за посиланням зі сповіщення.

4. Вхід на портал інцидентів

   Аліса відкриває внутрішній портал компанії для повідомлень про інциденти. Вона безпечно входить через менеджер паролів — це хороша звичка: так вона користується надійними й унікальними обліковими даними.

5. Вибір типу інциденту

   Форма повідомлення про інцидент показує кілька категорій. Хтось увійшов в обліковий запис Аліси з-за кордону без її відома, тож їй треба вибрати відповідний тип інциденту. Підозрілий вхід з Джакарти — це явна спроба несанкціонованого доступу, тобто Несанкціонований доступ .

6. Заповнення звіту про інцидент

   Вибравши тип інциденту, Аліса чітко й по суті описує, що сталося: вказує час, дані про місце входу зі сповіщення і те, що вона цей вхід не санкціонувала.

7. Негайні дії

   Після надсилання звіту Аліса отримує підтвердження, що службу ІТ-безпеки повідомлено. Система радить негайно виконати два кроки: змінити пароль і переглянути недавню активність в обліковому записі. Аліса знає: швидка реакція може зменшити шкоду від можливого зламу.

8. Зміна облікових даних

   Аліса створює надійний унікальний пароль у менеджері паролів компанії. Вона розуміє: якщо старий пароль скомпрометовано, його треба негайно змінити, щоб не допустити подальшого несанкціонованого доступу. Щоб підтвердити особу, перед зміною форма просить ввести поточний пароль.

9. Відповідь служби ІТ-безпеки

   За лічені хвилини Аліса отримує відповідь від служби ІТ-безпеки. Там уже почали розбиратися з підозрілим входом і тимчасово закрили іноземній IP-адресі доступ до систем компанії.

10. Розбір відповіді

    Відповідь служби ІТ-безпеки показує, як швидко компанія може діяти, коли про інциденти повідомляють вчасно.