#obsługa incydentów

W pierwszej godzinie po ataku albo poważnej awarii najwięcej czasu zabiera nie technika, tylko ustalanie, kto może podjąć decyzję. Obsługa incydentów jest po to, żeby ta godzina nie schodziła na szukanie numeru telefonu.

Czym jest obsługa incydentów

To ustalony z góry zestaw ról i kroków na wypadek zdarzenia, które zagraża działaniu firmy albo jej danym. Składa się z rozpoznania, ograniczenia szkody, usunięcia przyczyny i przywrócenia pracy, a domyka ją raport opisujący przebieg.

Kluczowe jest słowo „z góry”. Procedura pisana w trakcie incydentu nie jest procedurą, tylko improwizacją z ładniejszą nazwą, a jej jakość zależy od tego, kto akurat jest w pracy.

Jak przebiega pierwsza godzina

Najbliżej temu do akcji straży pożarnej. Pierwszy wóz nie zaczyna od ustalania przyczyny pożaru, tylko od odcięcia dopływu: gazu, prądu, tlenu. Dochodzenie, od czego się zapaliło, prowadzi się później i prowadzi je kto inny.

Konkret jest taki, że odcięcie kosztuje. Zatrzymanie serwera albo odłączenie oddziału od sieci zatrzymuje pracę firmy, więc decyzja o tym musi mieć wskazaną osobę uprawnioną, a ta osoba musi być osiągalna także w sobotę. Bez takiego wskazania zespół techniczny czeka na zgodę, której nie ma kto wydać, i te godziny są najdroższą częścią całego zdarzenia.

Czym różni się od zgłoszenia do pomocy technicznej

Zwykłe zgłoszenie dotyczy usterki, która przeszkadza jednej osobie albo jednemu zespołowi, i rozwiązuje się je w kolejce według priorytetu. Incydent zmienia dwie rzeczy naraz: skalę oraz to, że zdarzeniem może kierować ktoś, kto działa celowo.

Wynikają z tego różne odruchy. Przy usterce naprawia się najszybciej, jak się da. Przy incydencie najszybsza naprawa bywa najgorszym wyborem, ponieważ niszczy ślady potrzebne do ustalenia, czy sprawa naprawdę się skończyła.

Kiedy zdarzenie staje się incydentem

Przy szyfrowaniu danych dla okupu, przy przejęciu skrzynki pocztowej i podszyciu się pod firmę w korespondencji z klientem, przy wycieku danych, przy awarii, która zatrzymuje produkcję, oraz przy zgłoszeniu od kontrahenta, że z adresu firmy przyszło coś podejrzanego.

Procedura, która się w tych sytuacjach sprawdza, zaczyna się od nazwisk, numerów telefonów i zastępstw, a nie od definicji. Dalej idą progi decyzyjne, czyli kiedy zdarzenie przestaje być usterką, oraz lista osób i instytucji do powiadomienia razem z terminami, jeśli branża je narzuca.

Zakres powiadomień bywa szerszy, niż zakłada się przy pisaniu pierwszej wersji dokumentu. Poza zespołem technicznym i zarządem na liście stają zwykle prawnik, ubezpieczyciel, bank przy podejrzeniu podmiany numeru rachunku oraz najwięksi odbiorcy, jeżeli zdarzenie dotknęło danych powierzonych przez nich. Każda z tych rozmów wygląda inaczej, gdy dzwoni się pierwszego dnia, a inaczej, gdy druga strona dowiaduje się o wszystkim z zewnątrz.

Na co uważać

Najwięcej szkody wyrządza odruch porządkowania. Osoba, która w dobrej wierze restartuje maszynę, kasuje podejrzany plik albo przeinstalowuje system, usuwa jednocześnie dane potrzebne do ustalenia, czym i którędy wszedł atakujący. Bez tych informacji nie da się stwierdzić, czy incydent się skończył, ani odpowiedzieć na pytania, które w regulowanych branżach zadaje organ nadzoru w terminie liczonym w godzinach.

Druga pułapka dotyczy rejestrów zdarzeń. Zapis przechowywany krócej, niż trwa typowe ukrycie się napastnika w sieci, kończy się tym, że analiza zaczyna od okresu już nadpisanego. Trzecia dotyczy kanału łączności: jeśli zespół umawia się na komunikację przez firmową pocztę, a incydent objął właśnie pocztę, to rozmowa o incydencie odbywa się na oczach napastnika.

Czego procedura nie zastąpi

Procedura nie zastąpi zabezpieczeń. Firma bez kopii zapasowej odpornej na skasowanie, bez drugiego składnika logowania i bez aktualizacji ma dokument opisujący, jak sprawnie przejść przez zdarzenie, które w ogóle nie musiało się wydarzyć.

Nie jest też odpowiedzią plan, którego nikt nie przećwiczył. Zgłoszenie fikcyjnego incydentu i zmierzenie, ile zajmuje przejście całej ścieżki, jest jedynym sposobem sprawdzenia procedury przed dniem, w którym będzie potrzebna naprawdę, i zwykle właśnie wtedy okazuje się, że dwa numery telefonu są nieaktualne.