Intsidentide halduse plaan: mall ja kuidas alustada?

Mis on intsidentide halduse plaan (Incident Response Plan, IRP)?

Intsidentide halduse plaan (IRP) on ametlikult heaks kiidetud dokument, mis on loodud selleks, et aidata organisatsioonil tuvastada, hallata ja taastuda küberturvalisuse intsidentidest. Selle eesmärk on pakkuda selget raamistikku erinevate ohtude tuvastamiseks ja neile reageerimiseks, minimeerida kahjusid ja taastumisaega ning kaitsta olulisi varasid. IRP määratleb konkreetsed sammud, rollid ja protokollid, mis võimaldavad kiiresti reageerida ja intsidente tõhusalt tõkestada.

Hästi läbimõeldud plaan on hindamatu väärtusega ebakindlatel aegadel. Kuna iga rünnak on erinev ja ettearvamatu, seisab organisatsioon silmitsi tegevuste katkestuste, rahaliste kahjude ja mainekahjudega, kui ohtudele ei reageerita tõhusalt ja süsteemselt. Iga hetk, mis ei ole pühendatud rünnaku piiramisele ja sellest taastumisele, annab ründajatele võimaluse võrku sügavamale tungida või olulisi andmeid varastada. Plaani väljatöötamine alles pärast intsidenti on lühinägelik ja võib põhjustada suuremaid kaotusi.

Intsidentide halduse plaani põhikomponendid

Intsidentide halduse plaan peab sisaldama mitmeid olulisi elemente, et organisatsioone tõhusalt küberturvalisuse intsidentidest läbi aidata. Need elemendid tagavad, et reageerimine on organiseeritud, efektiivne ja keskendub kahjude minimeerimisele.

Ettevalmistus. Kogu ennetav töö – meeskonna koolitamine, tööriistade seadistamine ja selgete poliitikate kehtestamine. Regulaarne praktika ja harjutused tagavad, et kõik teavad oma rolli ja kuidas tegutseda, kui midagi juhtub.

Tuvastamine ja analüüs. Probleemide varajane märkamine ja nende ulatuse mõistmine. Jälgimissüsteemid ja hoiatused aitavad kahtlast tegevust kiiresti tuvastada. Pärast tuvastamist on oluline intsidenti analüüsida ja määrata prioriteet vastavalt selle tõsidusele.

Peatamine ja likvideerimine. Probleemi tuvastamisel on esmatähtis selle leviku peatamine. Seejärel tuleb eemaldada probleemi põhjus. Taastamine toimub viimasena, tagades, et süsteemid ja andmed on turvaliselt taastatud.

Õppetunnid. Pärast intsidenti tuleb analüüsida, mis juhtus, ja teha järeldused. See aitab tuvastada, mis läks hästi ja mida saaks parandada. Plaani uuendamine nende teadmiste põhjal valmistab organisatsiooni paremini ette tulevasteks võimalikeks intsidentideks.

NB! Mallid on suurepärane alguspunkt intsidentide halduse plaani loomiseks, kuid neid on vaja kohandada vastavalt teie organisatsiooni vajadustele. Võttes kõrvale standardid (nagu NIST või ISO), saab tagada, et plaan vastab tänapäevastele nõuetele ning on vajadusel valmis audititeks ja vastavuskontrollideks. Loe lisaks NISTi, ISO ja teiste standardite kohta meie varasemast postitusest.

Küberintsidentide haldamisega alustamine

Küberintsidentide haldamisega alustamine nõuab organisatsiooni, selle varade ja teenuste, võtmeisikute, olemasolevate protseduuride ning paljude teiste aspektide esmast kaardistamist. Kuna ei ole olemas universaalset intsidentide halduse plaani, peaksid organisatsioonid kohandama oma plaane vastavalt oma spetsiifilisele kontekstile. Sellest hoolimata on olemas mitmeid põhikomponente, mis on igas intsidentide halduse plaanis universaalsed:

Rollid ja vastutusalad

Vähemalt minimaalsel tasemel tuleks rollid ja vastutusalad jagada kolme valdkonna vahel: intsidentide haldus, tehnoloogiahaldus ja kommunikatsioonihaldus.

• Intsidentidehalduse enda puhul on kõige olulisem määrata konkreetne isik, kes juhib iga konkreetse intsidendi lahendamist.
• Tehnoloogiahalduse puhul on kõige olulisem määrata isik, kes vastutab tehnoloogia ja süsteemide kasutamise ning probleemide lahendamise eest.
• Kommunikatsioonihalduse puhul on kõige olulisem määrata isik, kes juhib kogu konkreetse intsidendiga seotud kommunikatsiooni.

Igas valdkonnas võib olla mitmeid lisajuhte, spetsialiste või tavatöötajaid, kes tegelevad valdkonnaga seotud konkreetsete ülesannetega, sõltuvalt organisatsiooni sektorist, suurusest ja olemusest.

Tuvastatud ohustsenaariumid

Organisatsiooni riskianalüüside põhjal tuleks tuvastada peamised ohustsenaariumid, et valmistuda nendele vastavate otseste reageerimisplaanide koostamisega. Eelnevalt analüüsitud ohustsenaariumid vähendavad oluliselt segadust ja ebakindlust tõsise küberrünnaku ajal.

Testimine ja uuendamine

Intsidentide halduse plaan ei ole kunagi lõplik ning muutub ajas. Uute ohtude ilmnemisel, organisatsiooni ümberstruktureerimisel ja töötajate vahetumisel tuleb plaani pidevalt uuendada. Lisaks tuleb seda praktiseerida, et maksimeerida selle tõhusust. Üks tõhusamaid viise IRP efektiivsuse testimiseks on küberkaitse õppused. Need õppused on stsenaariumi põhised simulatsioonid ja arutelud, mille eesmärk on parandada organisatsiooni otsustusprotsesse küberintsidentide korral, eriti kõrge stressiga olukordades. Lisateavet RiskSighti lähenemisviisi kohta küberkaitse lauaõppuste osas leiate siit.

Küberintsidentide haldamise kontrollnimekiri

Küberintsidentide haldamise kontrollnimekiri on oluline tööriist, mis aitab navigeerida küberintsidendi ajal, vähendades segadust ja tagades kriitiliste sammude kiire elluviimise. Soovitav on, et nimekiri oleks kättesaadav nii digitaalsel kujul kui ka füüsiliselt väljaprindituna, juhuks kui digitaalne juurdepääs on rünnaku tõttu takistatud.

Alljärgnevalt on välja toodud näitlik kontrollnimekiri ENISA sisenditega, kuid internetis on saadaval mitmeid lisamaterjale ekspertidelt Delineast, Crowdstrikest ja valitsusasutustelt. Iga mall varieerub nii horisontaalses kui vertikaalses skoobis ja seetõttu peaks alati olema ainult vundament, millele vastavalt oma organisatoorsetele vajadustele ja iseärasustele õige plaan ehitada.

Lisaks on allpool väljatoodud mõned põhisambad intsidentide halduse protsessis.

Olukorra hindamine

• Intsidendi tõesuse kinnitamine
• Esmane triaaž (küberrünnak, IT-intsident vms)
• Mõju kriitilistele äriprotsessidele ja IT-süsteemidele

Esmategevused

• Dokumenteerimise alustamine
• Võtmeisikute teavitamine ja kokkukutsumine
• Koheste kaitsemeetmete rakendamine kahjude piiramiseks ja analüüsi käivitamine

Olukorra detailsem fikseerimine ja stabiliseerimine

• Ühise olukorrateadlikkuse fikseerimine
• Otsuste langetamine vastavalt tagajärgede analüüsile
• Toimepidevusplaani sisulise osa käivitamine

Lõplik dokumenteerimine

• Tegevuste, probleemikohtade ja otsuste lõplik kirjalik fikseerimine
• Uute riskide, nõrkuste või muude mõttekohtade väljatoomine

Kokkuvõte ja hinnang

• Taastetegevuste edukuse kinnitamine
• Kokkuvõtva analüüsi läbiviimine
• Õpikohtade tuvastamine, taasteplaanide täiendamine