Нужна ли группа реагирования на инциденты или хватит списка телефонов?

Списка на стене мало, но и фолианты на 50 страниц писать не надо. Распечатайте и заламинируйте один лист: 1) Выдерни сетевой кабель, комп не выключай (чтобы не затереть улики). 2) Сообщи Ахмету. 3) Звони внешнему IT-шнику. 4) Не вводи пароли на подозрительных экранах. В офисе на 5 человек спасают только правильные рефлексы в первые пять минут.

В прошлом году в нашей логистической компании из семи человек была похожая история. Процедур никаких не было, вызванный со стороны специалист по реагированию выставил счет по 180 EUR в час, и в сумме мы потратили 2.200 EUR. Если бы мы с самого начала заключили договор на абонентское обслуживание за 120 EUR в месяц, система пролежала бы не шесть часов, а час, да и расходы были бы вдвое меньше.

Главная ошибка с точки зрения цифровой криминалистики — это когда сотрудники во время атаки выдергивают шнур из розетки и выключают устройство. При выключении из оперативной памяти (RAM) стираются следы хакеров и ключи шифрования. Распределяя роли, обучите техперсонал отключать сеть (выключать Wi-Fi, вытаскивать кабель ethernet), но строго вбейте правило: устройство должно оставаться включенным.

Пытаться собрать комитет в офисе из пяти человек — это смешно. Все и так сидят бок о бок. Давайте будем реалистами: никто из своих не станет экспертом по безопасности. Главное — знать кому звонить снаружи, и регулярно проверять, действительно ли бэкапы хранятся в изолированной среде. А громкие должности в команде — просто перевод бумаги.

У нас в Турине в агентстве на троих партнеров была такая история. Однажды утром на компе бухгалтера вылезло требование выкупа. Никто не осмелился позвонить боссу, а стажер скачал из Гугла какую-то утилиту для очистки и снес все логи. В итоге из-за задержки с уведомлением итальянского регулятора по защите данных (Garante) мы чуть не попали на тысячи евро штрафа. И все только потому, что не было четкой цепочки полномочий.

нас трое мы создали общий чат в whatsapp если чё сразу туда пишем там же и технарь из аутсорса но пока что два подозрительных письма сразу разрулили никаких списков искать не надо.

А что прописано в ваших договорах с клиентами на случай утечки данных? По итальянскому законодательству у вас есть 72 часа на уведомление. Кто в вашей компании юридически уполномочен в течение этих 72 часов сделать официальное заявление клиентам и регулятору? Собирая команду, вы определили это право подписи, помимо технической части?

Если подытожить дискуссию, формула для компании из пяти человек простая: назначить одного ответственного внутри, обучить персонал не выключать устройства, а только отрубать интернет, и заключить договор с внешними IT-шниками с гарантией реагирования. И не нужны ни бюрократический комитет, ни бесполезный список телефонов.

Взял на заметку, спасибо.

Сохранил.

Как думаете, это сработает в любом масштабе? Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Интересно, есть ли те, кто делает иначе.

Не знал об этом.

Я сталкивался с тем же.

Сведу тему в кучу, так как ответов было несколько разных. Без измерений мы всегда приходим к одному и тому же.

Удачи.

Я тоже об этом думал. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Проверено опытом.

Редко встретишь текст с такой ясностью изложения. Изменение платежных данных никогда не подтверждается через тот же канал.

Ответ сильно зависит от отрасли, универсального правила нет. Оставлю как заметку, пригодится.

согласен с этим. спешшка в решениях оборачивается исправлениями через полгода.

автоматический отчет о сканировании и пентест — это не одно и то же.

Спасибо, что написали об этом, это действительно так. Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Интересно, есть ли те, кто делает иначе.