10 kişilik şirket için olay müdahale planı: Cilt cilt belge olmadan ne olmalı?

İlk yapacağınız şey o planı şirket sunucusunda tutmamak olsun... açıkçası fidye yazılımı girdiğinde kendi sunucunuza erişemezsiniz. Basılı birer kopya yöneticide ve teknik liderde dursun, bi kopya da bağımsız bi harici bulut klasöründe bulunsun... İletişim için de şirket e-postası harici bi kanal baştan belirlenmeli.

Benzer ölçekte Münih'te bir ajans işletiyoruz. Geçtiğimiz yıl bir müşterimizin e-posta hesabı ele geçirildi. Önceden kimin kimi arayacağını yazmadığımız için ilk 4 saati iç panikle ve birbirimize soru sorarak kaybettik. O olaydan sonra tek sayfalık bir akış şeması çıkardık. Hazırlaması sadece 3 saatimizi aldı ama sonraki ufak bir DNS probleminde 20 dakikada organize olduk.

Teknik tarafta yapılan en büyük hata panikle sunucunun fişini çekmek veya hemen yeniden başlatmaktır. RAM üzerindeki uçucu bellek kayıtları silinir ve saldırganın nereden girdiğini tespit edemezsiniz. Planda 'makineyi kapatma, sadece ağ kablosunu sök veya sanal sunucunun ağ adaptörünü devre dışı bırak' kuralı açıkça yer almalı.

Almanya'da faaliyet gösteriyorsanız işin yasal boyutunu göz ardı etmeyiniz. Olay müdahale planınızda GDPR 33. madde uyarınca ilgili denetim makamına yapılacak 72 saatlik bildirim yükümlülüğü ve gerekirse veri sahiplerine yapılacak duyuru süreci net bir adım olarak yer almalıdır. Şirketler bu süreyi genellikle iç karmaşada kaçırabilmektedir.

Müşterilerinizin gönderdiği o denetim formları kurumsal kontrol listeleridir. Hazırlayacağınız iki sayfalık plan kendi içinizde harika çalışır ama kurumsal denetçi 7/24 operasyon merkezi gibi maddeleri arayabilir. Planı yazın ama müşteriye sunarken de '10 kişilik organizasyonel yapıya uyarlanmış çevik plan' diyerek net çerçeve çizin yoksa gereksiz yere zorlanırsınız.

ek: aşağıda sorulmuş, cevabı ikinci mesajda yazdım.

bizim ekipte de 8 kişi var başımıza benzer bi drum geldiğinde kimsenin avukatın numarasını bilmediğini fark ettik. acil durum telefonları listesi ve herkesin yedek iletişim adresi en kritik kısım. bu arada dosyanın adı olay müdahale planı olsun yeter içeriği 2 sayfa özet kalsın.

Müşteriniz denetimde sadece planın varlığını mı soruyor yoksa son test raporunu ve üçüncü taraf onayını da talep ediyor mu? Bazı denetimler sadece tatbikat tutanağı görmek isterken bazıları harici denetim raporu istiyor. Sözleşmenizdeki güvenlik ekini kontrol ettiniz mi?

Kendinize yüklenmeyin, kurumsal şablonlara boğulmanıza hiç gerek yok. Planınıza olayın seviyesini belirten basit bi sınıflandırma da ekleyin: Düşük (tek kullanıcı etkilendi), Orta (servis kesintisi var ama veri güvende), Yüksek (veri sızıntısı veya kritik veri kaybı). Bu sınıflandırma kime ne zaman haber verileceğini çok netleştirir.

Aynı durumdayım, o yüzden soruyorum. Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.

Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim. Sonucu buraya yazarsanız başkalarına da faydası olur.

Katılıyorum, hatta altını çizmek isterim. Olayların çoğu zafiyetten değil, sızmış bir paroladan başlıyor.

Sonucu buraya yazarsanız başkalarına da faydası olur.

bi sorum olcak konudan sapmak istemem ama ve ödeme bilgisi değişikliği asla geldiği kanaldan doğrulanmaz.

yedeğin aynı ağda ve aynı kimlikle erişilebilir olması onu hedefin parçası yapıyor ve yanlıışm varsa düzeltin.

Çok teşekkürler, bugün deneyeceğim.

deneyeceğim. kararı verirken elinizde hangi veri var, önce ona bakın

baska turlu yapn vaarsa onu da merak ederim.

Bu başlık arşivlik.

Bizde şöyle oldu. Yedeğin aynı ağda ve aynı kimlikle erişilebilir olması, onu hedefin parçası yapıyor.

Başka türlü yapan varsa onu da merak ederim.

Tam zamanında bir konu.

konuyu toparlayayim cunku bikac farkli cevp verildi. zaman kaybinin cogu onay bekleyen islerde birikiyor.

umarm isinize yarar

Evet, olay müdahale planı konusunda durum aynen böyle. Envanter çıkarmadan alınan önlem, görmediğiniz kapıyı açık bırakıyor.