Er bestaat nog geen waterdicht beveiligingssysteem ter wereld. Ondanks de beste beveiligingsmaatregelen en de beste teams, komen datalekken voor. Het heeft geen zin om te leven in een fantasiewereld waarin de implementatie van de meest geavanceerde tools en processen garandeert dat een organisatie 100% veilig is voor cyberdreigingen. Alle organisaties moeten zich voorbereiden op een datalek met een incidentresponsplan (IR-plan). Een incidentresponsplan helpt organisaties om op een georganiseerde en gecoördineerde manier op een incident te reageren. Een goed ontworpen incidentresponsplan helpt om het incident snel te beperken en de schade te minimaliseren in plaats van meer chaos te creëren. Een goed IR-plan moet goed gedocumenteerd, getest en gevalideerd zijn om te garanderen dat het voldoet aan de eisen van de organisatie. De volgende vijf punten moeten in ieder geval deel uitmaken van elk incidentresponsplan.
1. Incidentidentificatie
Het plan moet duidelijke criteria of richtlijnen bevatten over wanneer en hoe een beveiligingsincident wordt gemeld. Het kan gaan om één groot incident of om een reeks individuele indicatoren die op een incident kunnen wijzen (bijvoorbeeld het plotseling verwijderen van een x aantal records, een afname van de netwerksnelheid boven een bepaald punt, ondanks dat er geen duidelijke toename van het werkelijke verkeer is, enz.). Het IR-plan moet het volgende omvatten:
- Standaardrichtlijnen voor het identificeren en melden van een incident
- Criteria voor het definiëren van een groot en klein incident
- Criteria om de ernst van het incident te definiëren
- Reactietijd voor een incident van elke ernst
- Een geschillenbeslechtingsproces om conflicten te vermijden ten tijde van een incident
Vaak hebben verschillende teams een verschillende kijk op hetzelfde incident. Ze geven verschillende ernst, impact en dus ook verschillende oplossingstijden voor hetzelfde incident. In dergelijke gevallen is een geschillenbeslechtingsmechanisme essentieel, zodat het incident de juiste aandacht krijgt.
2. Rollen en verantwoordelijkheden bij incidentrespons
Iedereen binnen de organisatie moet weten wat hij/zij moet doen en met wie hij/zij contact moet opnemen als er een incident plaatsvindt. Het IR-plan moet het volgende bevatten:
- Eerste aanspreekpunt om te informeren over het incident (incidenthulplijn)
- Meldingsmatrix die de personen identificeert die op de hoogte moeten worden gebracht wanneer er een incident plaatsvindt
- Contactgegevens voor elk gebied (netwerken, servers, individuele systemen, individuele afdelingen etc.) voor incidentbeheer
- Stappen die door elk team/afdeling/individu moeten worden uitgevoerd tijdens het incident, inclusief tijdlijnen (reactietijden)
- Interdependentie- en communicatiematrix
- Escalatiematrix
- Criteria voor het sluiten van incidenten
Het incident wordt gesloten wanneer alle impactteams toestemming geven dat hun gebied naar behoren functioneert. Totdat alle teams groen licht geven, moet het incident open blijven.
3. Communicatieplan voor incidentrespons
Nu we het onderwerp communicatie hebben besproken, is het van groot belang dat er een gedetailleerd communicatieplan is met minimaal de volgende details:
- Contactpersoon voor noodhulp bij het incident
- Meldingslijst
- Primair noodcontact voor elk gebied
- Een tweede noodcontactpersoon voor elk gebied
- Noodcontactpersonen van leveranciers (die verbonden zijn met het netwerk van de organisatie)
- Communicatieprotocol voor interdepartementale communicatie tijdens het incident
- Escalatieprotocol tijdens het incident
- Regelmatige incidentupdate communicatieprotocol en frequentie
- Goedkeuring van incidentafsluiting en communicatieprotocol
- Aangewezen communicatiemanager tijdens het incident
Tijdens een incident is de kans op chaos groot. Daarom is het belangrijk om een goed gedefinieerd communicatieprotocol te hebben dat gevolgd moet worden. Het communicatieplan moet regelmatig geoefend worden om een vlotte informatiestroom te garanderen in geval van een incident.
4. Validatie en improvisatie van het IR-plan
Cyberdreigingen veranderen voortdurend in aard en intensiteit; daarom mag het incidentenplan niet statisch zijn. Het moet regelmatig worden herzien en bijgewerkt om het actuele dreigingsscenario te weerspiegelen. Het incidentenplan moet regelmatig worden gepubliceerd, getest en gevalideerd om een effectieve uitvoering ervan tijdens een incident te garanderen. Na elk incident moet de daadwerkelijke respons op het incident worden geëvalueerd en de lessen die zijn geleerd, moeten worden verwerkt in het nieuwe plan voor verbeterde effectiviteit.
5. Impact van het incident
Organisaties beschikken over enorme hoeveelheden consumentengegevens en de impact van diefstal of verlies van deze gegevens is zeer groot, zowel voor consumenten als voor bedrijven. Bedrijven worden gedwongen de gegevens van hun consumenten te beschermen vanwege de vele regelgeving en bijbehorende sancties, en ook om verlies van geloofwaardigheid te voorkomen. Elk incidentenplan moet de incidenten die zich kunnen voordoen identificeren en de impact ervan op de organisatie beoordelen. In geval van een incident moet de impactanalyse zo snel mogelijk worden uitgevoerd, zodat de organisatie de volledige gevolgen van de inbreuk begrijpt.
Cyberaanvallen en -inbreuken zijn tegenwoordig een realiteit. Naar schatting krijgt elke organisatie minstens één keer te maken met een datalek. Net als een goed geplande EHBO-doos in huis, helpt een goed, goed getest incidentresponsplan bij het reageren op een incident met minimale verrassingen en minimale verliezen.
Als IT-beveiligingspartner voor uw bedrijf, Seqrite biedt uitgebreide eindpuntbeveiliging tegen geavanceerde cyberdreigingen. Ga voor meer informatie naar onze website or
