Wir sollen Vorfälle nach einer „Taxonomie“ klassifizieren – was ist das und warum macht es die Reaktion so schwer?

Macht da keine Raketenwissenschaft draus. Einfach ein Sheet anlegen mit den Spalten „Datum“, „Kategorie“, „Schweregrad“, „Betroffenes System“ und „Maßnahme“. Ihr müsst da nicht täglich hunderte Zeilen füllen – tragt einfach die paar echten Incidents ein, an denen ihr tatsächlich arbeiten musstet.

Wir hatten vor zwei Jahren mal eine Taxonomie mit 15 Kategorien gebaut. Ende vom Lied: Das Team war nur noch mit Formularen beschäftigt und unsere Reaktionszeit ging von 30 Minuten auf 2 Stunden hoch. Letztes Jahr haben wir auf 3 Hauptkategorien abgespeckt, seitdem wird auch wirklich wieder alles lückenlos dokumentiert.

wenn man jeden fehlgeschlagenen ssh-login als incident wertet sitzt man halt die ganze nacht an tickets. trennt logs von echten vorfällen, dann läuft das von ganz allein.

Auditoren und Versicherer wollen die Taxonomie vor allem sehen, um zu wissen, ob ihr im Ernstfall eine saubere Ursachenanalyse hinbekommt. Wenn Daten abfließen, reicht denen kein „das System hat gesponnen“, sondern die wollen Begriffe wie „unberechtigter Zugriff via Social Engineering“ hören.

Beim Filtern einfach an diese 3 goldenen Fragen halten: 1) Wurde die Integrität oder Vertraulichkeit von Daten verletzt? 2) Gab es einen Ausfall für Kunden? 3) Greifen gesetzliche oder vertragliche Meldefristen? Wenn 3x Nein: kein Fall für die Taxonomie, sondern ganz normales System-Log.

Verlangt die Versicherung im Fragebogen einen konkreten Standard wie ISO 27035 oder NIST SP 800-61, oder reicht ein intern definiertes Vorgehen? Meistens reicht es völlig, wenn man einfach ein eigenes, klares Dokument vorlegt.

Die großen Beratungsbuden verkaufen einem das immer so, als bräuchte eine 5-Mann-Bude gleich ein rund um die Uhr besetztes SOC. Bei den meisten Kunden-Audits reicht eine saubere Ein-Seiten-Übersicht nach dem Motto „so klassifizieren wir Vorfälle“, und das Thema ist abgehakt.

bei unserem ersten Audit haben wir auch Panik geschoben und ein 40-seitiges NATO-Dokument kopiert.. dann der Auditor musste nur schmunzeln und meinte: „Das leben Sie doch im Alltag nie.“ Haltet es simpel, das wirkt am Ende viel professioneller.

Ich hätte eine Frage, möchte aber nicht vom Thema abschweifen. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

An deiner Stelle würde ich so vorgehen.

Vor zwei Jahren habe ich genau dasselbe erlebt. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Ich hoffe, das hilft dir weiter.

notiert, danke.

Genau so, und das ist zudem kaum bekannt. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen die man nicht sieht.

Du hast recht.

Entschuldigung, aber das gilt nicht in jedem Fall. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Fehler auf der Taxonomie von Sicherheitsvorfällen-Seite sind meist rückgängig zu machen, aber teuer. Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Ein Thema, das gerade aktuell ist.

Hier lauert eine Falle, die ich nicht unerwähnt lassen möchte. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.