Как не тратить лишнее время на обеспечение безопасности. Разбираемся с инцидентами. 17. 09. 2019 14:42 < PAN> Как эффективно выявлять и реагировать на чрезвычайные происшествия: советы и рекомендации.
Обновленная информация о секторе риска: анализ, методы, способы оценки, классификация. Оценка и минимизация рисков — ключевые элементы любой бизнес-стратегии.
Как не тратить лишнее время на обеспечение безопасности. Работа с инцидентами. 17. 09. 2019 14:42
Профессионалы компании могут сэкономить время в некоторых областях и предоставить руководству информацию для работы, например, в других секторах. Однако есть области, где разница между реагированием в течение нескольких часов и в течение нескольких дней может привести к значительным штрафам, репутационным рискам, потере клиентов и другим угрожающим последствиям. По этой причине при возникновении внутренней угрозы компании должны уметь быстро реагировать, не теряя времени на выяснение того, что произошло, когда это случилось и почему. В этой статье приведены советы о том, как ускорить инцидент и предотвратить негативные последствия. 1. перед инцидентом есть четкое англоязычное разъяснение, которое сейчас как никогда актуально — «an ounce of prevention is worth a pound of cure» или дословно «унция профилактики стоит фунта лечения». Эта пословица идеально подходит к состоянию инцидента. Одним из самых важных (и потенциально трудоемких) этапов в процессе лечения инцидента является подготовка. Это означает, что необходимо потратить время на кодификацию политики безопасности и плана реагирования на инциденты. Для этого целесообразно назначить группы сотрудников со всей компании для разработки стратегических коммуникаций с четко определенными ролями и обязанностями. Эффективная подготовка важна, поскольку она помогает членам команды понять, что именно должно произойти в случае инцидента.
Это может сэкономить массу времени при возникновении инцидента. Однако если вы имеете дело с реальным инцидентом, который происходит в настоящее время, но у вас не было времени или ресурсов для предварительной подготовки, следующие советы также помогут сократить время реагирования 2. Инвестируйте в прозрачность В случае инцидента, связанного с внутренней угрозой, вам необходимо знать, где именно можно получить информацию о произошедшем. Однако вычленить нужную информацию из системных, сетевых и журнальных данных может быть непросто. Даже с помощью инструментов SIEM сложно проанализировать данные и получить контекст и полную картину, необходимую для эффективного реагирования на инцидент. Стандартные средства оповещения о нарушениях безопасности могут рассказать вам о том, что произошло, но не дать полной картины. Однако, чтобы отреагировать на инцидент, вы должны быть в состоянии ответить на следующие вопросы.
Где это произошло? (В приложении? В сети?)
Что еще происходило в это время?
Без единой панели, отображающей ответы на все эти вопросы, реагирование на инциденты может отнимать много времени, поскольку специалистам по ИБ приходится использовать множество инструментов и разбираться с огромным количеством журналов. Как вы можете убедиться сами, это никак не ускоряет процесс реагирования на инциденты.
Вместо этого идеальным вариантом будет инвестировать в инструменты, специально разработанные для обеспечения прозрачности и контекста. Наличие инструментов, способных быстро предоставить нужный контекст, поможет защитить репутацию и ресурсы вашей организации.
3- Реагирование на угрозы.
Считайте, что сдерживание — это контроль за ущербом. На этом этапе команда безопасности стремится остановить уже возникший ущерб и предотвратить его распространение на другие проблемы или затронутые системы. Если речь идет об инсайдерской угрозе, на этом этапе может потребоваться участие HR- или юридической службы, чтобы определить дальнейшие действия ответственных лиц.
Перезагрузка.
Выполнение этих трех шагов позволит не терять время на выяснение масштабов ущерба и вносить исправления сразу после появления события.
Используйте платформу управления угрозами, такую как Observeit, чтобы получить полную видимость активности пользователей и обеспечить быструю и эффективную реакцию на внутренние угрозы. Платформа Observeit упрощает и ускоряет инциденты, предоставляя подробные визуальные снимки, точные следы активности и мгновенную видимость активности и пользовательских данных.
Реагирование на события
Ни одна система не может функционировать без сбоев. Всегда существует риск возникновения проблем в работе пользовательских материалов, программного обеспечения или действий, связанных с проведением операции. Кроме того, в этой статье описаны инциденты информационной безопасности и способы реагирования на них. На практике инцидентом информационной безопасности называют один или несколько нежелательных инцидентов информационной безопасности. В результате могут быть нарушены бизнес-функции и подвергнут риску ПИ. Последствия события ИБ могут привести к потере производительности, ущербу в плане затрат или репутации, например, нарушение бизнес-процессов, нарушение конфиденциальности, целостности или доступности активов объекта и т. д.
Хотя полностью предотвратить инциденты практически невозможно, можно научиться правильно реагировать на новые PY-инциденты и минимизировать вероятность их повторения. Реагирование на инцидент требует правильной организации процесса реагирования на инцидент — ряда мер по обнаружению, пресечению и устранению последствий кибератаки или утечки данных из инфраструктуры организации. Основная цель реагирования — минимизировать ущерб от инцидента и дать возможность организации вернуться к нормальной работе как можно быстрее и экономичнее.
Все сотрудники должны быть знакомы с текущим планом IR и должны немедленно сообщать о предполагаемых нарушениях безопасности. Важно также ознакомить с планом IR клиентов. И сотрудники, и клиенты должны сообщать о любых проблемах безопасности, обнаруженных в рабочей среде. Ниже приведены сценарии, в которых проблемы не следует игнорировать, а нужно как можно скорее сообщить о них для принятия незамедлительных мер.
NIST предлагает пять шагов на этапе обнаружения и анализа.
Найдите первые признаки инцидента безопасности.
{пространство}
Анализ признаков, чтобы отличить реальные угрозы от ложных тревог.
Возможности предотвращения инцидента ранее.
Планирование и эффективность работы команды
{пространство}
Обнаружение угроз для предотвращения подобных инцидентов в будущем
Помимо понимания того, как работать с инцидентами, важно также осознать, что без правильных инструментов и установки невозможно реализовать эффективный процесс IR. Во многих случаях организациям приходится поручать IR внешнему партнеру, поскольку у них нет специалистов с необходимыми навыками. В любом случае, для эффективной работы с инцидентами необходимы интегрированные инструменты управления инцидентами, чтобы минимизировать ущерб и время простоя.
Набор инструментов для управления событиями
Эксклюзивный набор каталогов с функциональностью управления событиями и презентацией.
{Space}
Список атрибутов Полный список ключевых атрибутов, которые можно использовать для оценки команды ИТ-поддержки.
{пространство}
Советы и рекомендации Подробные руководства с примерами использования управления событиями помогут вам начать работу.
Реагирование на инциденты и устранение последствий атак
Без надлежащего реагирования на инциденты и эффективного восстановления после атак компании рискуют потерять не только деньги и данные, но и репутацию и доверие клиентов».
1. Неготовность к предотвращению и обнаружению инцидентов