Wir unterschreiben einen Incident-Response-Vertrag — auf welchen Klauseln müssen wir bestehen?

Die grundlegenden technischen Kontrollpunkte, die ihr in den Vertrag aufnehmen lassen solltet, sind folgende: 1) Die Definition der Vorfallklassifizierung (P1-P4) muss an objektive Kriterien gebunden sein, 2) der Zuschlagsfaktor für zusätzliche Stunden darf den Vorauszahlungssatz nicht überschreiten, 3) die forensischen Zertifizierungen des Reaktionsteams (GCFA, GCFE usw.) müssen nachgewiesen werden, 4) für die Übergabe von Protokollen und Berichten muss eine Frist von höchstens 10 Werktagen festgelegt werden.

Wir haben für unser 50-köpfiges Team einen ähnlichen Vertrag für 15.000 Dollar abgeschlossen. Im Laufe des Jahres hatten wir keinen einzigen Sicherheitsvorfall. Dank der Klausel, die wir von Anfang an in den Vertrag aufnehmen ließen, haben wir unsere 35 Stunden im letzten Monat des Jahres in einen umfassenden Cloud-Penetrationstest umgewandelt; das Geld war definitiv nicht zum Fenster hinausgeworfen.

Warum denkt ihr nicht über das Modell 'Null-Dollar-Retainer' (zero-cost retainer) statt eines vorausbezahlten Retainers nach? Im Krisenfall ist der Stundensatz etwas höher, aber wenn nie ein Vorfall eintritt, habt ihr die 18.000 Dollar im Jahr nicht im Voraus gebunden. Wenn eure Kunden nur auf die Existenz des Vertrags schauen, ist dieses Modell viel rentabler.

Achtet auf die Klausel zur Zugriffsberechtigung. Die Firma kann im Notfall globale Administratorrechte für die gesamte Cloud-Umgebung in eurem Unternehmen verlangen. Ihr solltet in den Vertrag schreiben, dass das Reaktionsteam nur über vorab definierte Sprungserver (jumpbox) und Service-Accounts mit minimalen Rechten nachvollziehbar zugreifen darf.

klärt wer die Befugnis hat den Notfall auszurufen und die Retainer-Stunden sollten nur auf Anruf von 2-3 autorisierten Personen aus eurem Unternehmen gestartet werden können, sonst kann ein in Panik geratener Praktikant verseheentlich einen Prozess auslösen, der Tausende von Dollar kostet.

Wir empfehlen Ihnen, die Haftungsobergrenze für den Fall einer Verletzung der Vertraulichkeit oder Offenlegung von Kundendaten durch das Incident-Response-Team auf mindestens das Doppelte des gesamten Vertragswerts festzusetzen und die Vertragsstrafenklausel beidseitig bindend zu gestalten.

Was verlangen sie im Vertragsangebot eigentlich als zusätzlichen Stundensatz, wenn die 40 Stunden überschritten werden? Haben sie für Nacht- oder Feiertagseinsätze Multiplikatoren wie das 1,5- oder 2-Fache des Standardtarifs angesetzt?

Dieses Thema ist archiviert.

Das wusste ich nicht. Wer bei Incident-Response-Vereinbarung hetzt stolpert alle an derselben Stelle.

Nur als Notiz, könnte nützlich sein.

Ich stimme zu, möchte das sogar besonders betonen. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Ja, die Situation bei Incident-Response-Vereinbarung ist genau so. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Korrigiert mich, falls ich falsch liege.

Ich bin in derselben Situation deshalb frage ich. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Ich schreibe mal meine Erfahrung auf. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Das allein zu versuchen, ist der teuerste Weg. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

du hast recht ich bin denselben Weg gegangen... menschen verteidigen nicht den Prozess, sondern die Gewohnheit... der Widerstand kommt daher.

das ist meie Meinung ich behaupte nicht dass es absolut richtig ist.

Meine Frage ist geklärt, vielen Dank.

Du hast recht, ich bin denselben Weg gegangen. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Dabei gibt es einen sehr häufigen Fehler. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.