Безопасники предлагают Incident Response Retainer — стоит ли платить за дежурство команды?

Не упустите важную деталь: откройте свой полис киберстрахования и почитайте пункты про аккредитованных DFIR-подрядчиков. Большинство страховых не оплатит счет сторонней ИБ-компании, если ее нет в их утвержденном списке. Если этого вендора там нет, 12 тысяч долларов улетят на ветер, а при атаке вам все равно придется ждать команду от страховщика.

В прошлом году стояли перед таким же выбором и пожалели денег. Когда нас взломали, пришлось вызывать людей по факту. Топовая форензик-контора запросила 600 долларов в час с минимальным авансом за 40 часов, а юридическое согласование договора заняло 18 часов. Утечка данных за эти 18 часов обошлась нам в 80 с лишним тысяч долларов. Теперь продлеваем контракт за 10 тысяч вообще не глядя.

Для софтверной компании на 35 человек 12 тысяч долларов — нормальные деньги, тем более 8 тысяч просто сгорят в трубу. Если у вас современная облачная инфраструктура, настроен централизованный сбор логов и изолированы бэкапы, куда разумнее влить этот бюджет в собственную инженерию и ужесточение аутентификации, чем платить дяде на стороне.

Перед подписанием договора обязательно зафиксируйте на бумаге следующие три пункта: 1) Время реагирования в 2 часа — это просто ответ по телефону или реальное подключение криминалистов к системам? 2) Если инцидентов не будет, можно ли перенести оставшиеся часы на обучение сотрудников кибербезопасности или аудит кода? 3) В случае передачи дела в правоохранительные органы или органы по защите данных входит ли подготовка юридической отчетности в эту почасовую ставку?

мы тоже пару лет назад взяли такой, но в инфраструктуре логи толком не велись. спецы приехали, а из-за отсутствия логов так и не поняли откуда залезли. так что до подписания договора убедитесь что системы хранят логи доступа хотя бы за 90 дней иначе команда приедет, а сделать ничего не сможет.

Самая главная польза таких договоров — это подготовительный этап. Толковая команда, получив оплату, первым делом составляет карту вашей сети, тестирует источники логов и документирует, на какой сервер с какими ключами заходить в экстренной ситуации. В момент кризиса никто не должен бегать искать пароли. Если фирма не проводит эту подготовку на старте, технической ценности у такого договора ноль.

Вернитесь к переговорам и спросите про вариант с нулевым пакетом предоплаченных часов. Некоторые компании не берут ежегодную абонентку: они просто заранее подписывают договор готовят доступы а если случается инцидент, выставляют счета по 450-500 долларов за час. Вместо того чтобы морозить 12 тысяч долларов кэша, для ваших масштабов такая модель будет куда более разумным переходом.

исправление: ошибся в цифре, было чуть меньше.

Я тоже об этом думал. Изменение платежных данных никогда не подтверждается через тот же канал.

Оставлю как заметку, пригодится.

Сведу тему в кучу так как ответов было несколько разных. Начните с небольшого эксперимента не привязывайте всё сразу.

Интересно, есть ли те, кто делает иначе.

Ответ выше точно передал суть вопроса. Время обнаружения проблемы напрямую определяет ее стоимость.

Если делаете впервые, начните с малого, масштабирование потом. Интересно, есть ли те, кто делает иначе.

Не знал об этом.

Обсуждение размылось, давайте структурируем. Автоматический отчет о сканировании и пентест — это не одно и то же.

Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения. Удачи.

Я бы не торопился. Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

Изменение платежных данных никогда не подтверждается через тот же канал.

В прошлом году мы столкнулись практически с тем же самым. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Интересно, есть ли те, кто делает иначе.

Здесь есть еще и аспект измерений. Время обнаружения проблемы напрямую определяет ее стоимость.

Это мое мнение, не утверждаю, что оно единственно верное.

Если я правильно понял вы имеете в виду следующее: Ответ сильно зависит от отрасли, универсального правила нет.

Я бы пошел этим путем.

Спасибо, это именно то, что я искал.

Верно.