План реагирования на инциденты для компании из 10 человек: что должно быть, чтобы не утонуть в томах документов?

Первое что стоит сделать, — не хранить этот план на корпоративном сервере. Когда придёт шифровальщик до своего сервера вы не доберётесь. Пусть будет по печатной копии у руководителя и технического лидера, и ещё одна копия — в отдельной папке во внешнем облаке. Для связи тоже заранее определите канал вне корпоративной почты.

У нас агентство похожего масштаба в Мюнхене. В прошлом году взломали почтовый аккаунт одного из клиентов. Поскольку мы заранее не расписали, кто кому звонит, первые 4 часа потеряли на внутреннюю панику и расспросы друг друга. После того случая сделали блок-схему на одну страницу. На подготовку ушло всего 3 часа, зато потом при небольшой проблеме с DNS мы организовались за 20 минут.

Самая большая ошибка на технической стороне — в панике выдернуть сервер из розетки или сразу перезагрузить. Летучие записи в оперативной памяти стираются, и вы не сможете определить, откуда вошёл злоумышленник. В плане должно быть чётко прописано правило: «машину не выключать, только вынуть сетевой кабель или отключить сетевой адаптер виртуального сервера».

Если вы работаете в Германии, не игнорируйте юридическую сторону. В вашем плане реагирования на инциденты должно быть чётко прописано обязательство уведомить надзорный орган в течение 72 часов согласно статье 33 GDPR и, при необходимости, процесс оповещения субъектов данных. Компании часто упускают этот срок из-за внутренней суматохи.

Те анкеты по аудиту, что присылают клиенты, — это корпоративные чек-листы. Ваш двухстраничный план отлично работает внутри, но корпоративный аудитор может искать пункты вроде круглосуточного операционного центра. План напишите, но при подаче клиенту чётко обозначьте рамки: «гибкий план, адаптированный под организационную структуру из 10 человек», иначе вас будут мучить зря.

P.S.: вопрос уже задавали ниже, ответ во втором сообщении.

у нас в команде тоже 8 человек, когда случилась похожая ситуация мы поняли что никто не знает номера юриста. список экстренных телефонов и резервные адреса связи для всех — это самое критичное. пусть файл называется план реагирования на инциденты этого достаточно а внутри пусть останется резюме на 2 страницы.

Ваш клиент в аудите спрашивает только о наличии плана или ещё требует отчёт о последнем тестировании и подтверждение от третьей стороны? Некоторые аудиты хотят видеть только протокол учений, а некоторые — отчёт внешнего аудита. Вы проверили приложение по безопасности в вашем договоре?

Не грузите себя, вам совсем не нужно тонуть в корпоративных шаблонах. Добавьте в план простую классификацию уровня инцидента: Низкий (пострадал один пользователь), Средний (есть перерыв в обслуживании, но данные в безопасности), Высокий (утечка данных или критическая потеря данных). Эта классификация очень чётко определяет, кого и когда уведомлять.

У меня та же ситуация, поэтому и спрашиваю. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно. Если напишете результат здесь, это поможет и другим.

Согласен, хочу даже особо подчеркнуть. Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Если напишете результат здесь, это поможет и другим.

У меня будет вопрос не хочу уходить от темы, но... ну изменение платежных данных никогда не подтверждается через тот же канал.

Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки. Исправьте если я ошибаюсь.

Большое спасибо, сегодня попробую.

попробую. прежде чем принимать решение посмотрите, каккие данные у вас есть.

интересно есть ли те, кто делает иначе.

Эта тема в архиве.

У нас было так. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Интересно, есть ли те, кто делает иначе.

Очень актуальная тема.

сведу тему в кучу так как ответов было несколько разных но в общем большая часть потерь времени копится на задачах, ожидающих согласования.

надеюсь, это будет полезно.

Да, по теме план реагирования на инциденты ситуация именно такая. Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.