Nej. Incident Response er også relevant ved mindre hændelser som kompromitterede konti, phishing, mistede enheder eller mistænkelig aktivitet.
Begreb
Incident Response
•
2 min
•
Grundlæggende
Incident Response er processen for, hvordan en virksomhed opdager, vurderer, håndterer og følger op på en sikkerhedshændelse. Det kan for eksempel være ransomware, kompromitterede konti, datalæk, malware, mistænkelig loginaktivitet eller misbrug af adgangsrettigheder.
Hvorfor er begrebet vigtigt?
Incident Response er vigtigt, fordi hastighed og struktur har stor betydning under en sikkerhedshændelse. Hvis ingen ved, hvem der skal kontaktes, hvad der skal isoleres, eller hvordan der kommunikeres, kan en hændelse hurtigt vokse i omfang.
En god incident response-plan hjælper virksomheden med at begrænse skade, beskytte data, bevare overblik og komme tilbage til normal drift. Planen bør være praktisk nok til at kunne bruges under pres.
Typisk misforståelse
Den mest almindelige fejl er at tro, at Incident Response først starter, når skaden er sket. I praksis handler det også om forberedelse, roller, adgang til logs, kontaktlister, beslutningsveje og test af processen.
Eksempel
En medarbejders konto bliver kompromitteret, og der sendes mistænkelige mails fra kontoen. Med en incident response-plan kan virksomheden hurtigt nulstille adgang, undersøge logs, advare berørte parter og vurdere, om data er blevet tilgået.
Best practice
Udpeg ansvarlige personer og kontaktveje på forhånd.
Dokumentér trin for isolering, analyse, kommunikation og gendannelse.
Sørg for adgang til relevante logs og sikkerhedsværktøjer.
Test planen med realistiske scenarier.
Evaluer hændelser bagefter og forbedr processen.
Frequently asked questions
Det bør være et samarbejde mellem ledelse, IT og eventuelle sikkerhedspartnere, fordi hændelser kan påvirke drift, kunder, økonomi og omdømme.
Ja. En plan, der aldrig er testet, er ofte svær at bruge under pres. Test gør det lettere at finde mangler, før en reel hændelse opstår.