Una società di sicurezza propone un 'incident response retainer': ha senso pagare un canone annuo per avere il team a disposizione?

Non trascurate un dettaglio cruciale: verificate subito le clausole della polizza cyber relative al pool di forensics convenzionato. Molte compagnie assicurative non rimborsano le fatture di emergenza emesse da società di sicurezza esterne ai loro elenchi. Se questo fornitore non è approvato dalla vostra assicurazione, butterete 12.000 dollari e sotto attacco dovrete comunque attendere i tecnici assegnati dalla compagnia.

L'anno scorso ci siamo trovati davanti allo stesso dilemma e abbiamo rifiutato l'accordo. Quando abbiamo subito un'intrusione abbiamo dovuto chiamare in emergenza. Una nota società di incident response ci ha chiesto 600 dollari l'ora con un anticipo minimo di 40 ore per iniziare, e la revisione del contratto da parte del nostro ufficio legale ha richiesto 18 ore. I dati persi in quelle 18 ore ci sono costati più di 80.000 dollari. Adesso rinnoviamo il nostro retainer da 10.000 dollari a occhi chiusi.

12.000 dollari per una software house di 35 persone non sono bruscolini, soprattutto con 8.000 dollari che rischiano di evaporare nel nulla. Se la vostra architettura cloud è moderna, i log centralizzati funzionano a dovere e i backup sono ben isolati, ha molto più senso investire quel budget nell'ingegneria dell'infrastruttura interna e nell'hardening dei sistemi di autenticazione anziché vincolarlo all'esterno.

Prima di firmare il contratto, mettete assolutamente per iscritto questi tre punti: 1) Il tempo di risposta di 2 ore si riferisce solo alla risposta telefonica o al collegamento effettivo degli analisti forensi ai sistemi? 2) Se non si verificano incidenti, le ore residue possono essere convertite in formazione sulla sicurezza per i dipendenti o in audit del codice? 3) Nel caso in cui l'incidente finisca davanti alle autorità giudiziarie o agli enti per la protezione dei dati, il supporto per la reportistica legale è incluso in questa tariffa oraria?

lo abbiamo fatto anche noi due anni fa ma nell'infrastruttura non tenevamo i log come si deve. sono venuti i tecnici ma visto che non salvavamo i log nn sono riusciti a capire da dove fosse entrato l'attacco. prima di firmare il contratto assicuratevi che i vostri sistemi tengano almeno 90 giorni di log di accesso altrimenti anche se il team resta lì ad aspettare non può fare niente.

Il vantaggio più critico di questo tipo di accordi è la fase di preparazione. Un buon team, non appena incassa, mappa la vostra rete, testa le sorgenti dei log e documenta con quali chiavi accedere a ciascun server in caso di emergenza. Durante una crisi nessuno si mette a cercare le password. Se l'azienda non svolge questo lavoro preparatorio fin dall'inizio, quel contratto perde ogni valore tecnico.

Tornate al tavolo delle trattative e chiedete l'opzione senza monte ore minimo garantito. Alcune aziende non chiedono un canone annuo anticipato: tengono pronti solo il pre-accordo e i permessi di accesso, e se capita un incidente fatturano a 450-500 dollari all'ora. Invece di vincolare 12 mila dollari di liquidità, questo modello rappresenta un passaggio decisamente più sensato per la vostra scala.

correzione: mi ricordavo male il numero, era un po' più basso.

Stavo pensando la stessa cosa. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Lascio una nota, potrebbe servire.

Riassumo l'argomento perché sono state date diverse risposte. Inizia con un piccolo test, non impegnarti subito su tutto.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

La risposta sopra ha colto l'essenza della questione. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Non lo sapevo.

La discussione si è dispersa, la riassumo. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse. Buon lavoro.

Direi di non avere fretta. Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Quando prendi una decisione, guarda prima quali dati hai a disposizione.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

C'è anche un aspetto di misurazione. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Questa è la mia opinione, non la scrivo come verità assoluta.

Se non ho capito male stai dicendo che: La risposta varia molto in base al settore non esiste una regola generale.

Io seguirei questa strada.

Grazie mille, era la risposta che cercavo.

Corretto.