Revisione indipendente di chiusura incidente

Una revisione indipendente di chiusura incidente prima che il consiglio di amministrazione accetti la parola contenuto.

La società di risposta agli incidenti ha consegnato la propria relazione e la raccomandazione è di chiudere. Prima di accettarla, qualcuno senza interessi nella risposta dovrebbe leggere le evidenze su cui poggia.

Cosa faccio

Rileggere le evidenze, non la relazioneTorno a ciò che è stato effettivamente raccolto: le immagini forensi, i log, la telemetria degli endpoint, i registri delle identità, la cronologia. La relazione è l'interpretazione del responder. La revisione verifica l'interpretazione rispetto alla fonte.

Verificare ogni conclusione rilevanteAccesso iniziale, ambito, persistenza, esfiltrazione, eradicazione. Ogni conclusione è sostenuta da un artefatto identificato, dedotta dall'assenza di uno, oppure assunta. Scrivo quale delle tre, e cosa significa la differenza per la decisione che ha davanti.

Indicare ciò che non è mai stato esaminatoI sistemi di cui non è stata acquisita l'immagine, le fonti di log non conservate, le identità non esaminate, le terze parti non interpellate, la finestra temporale non coperta. Le lacune nelle evidenze sono risultati. Sono il luogo in cui vive la seconda intrusione.

Dichiarare se la chiusura reggeRegge, regge solo a condizioni indicate, o non regge. Una delle tre, per iscritto, con il mio nome, insieme a ciò che deve accadere prima che il verbale registri l'incidente come chiuso.

A chi si rivolge

General counsel, comitati di audit, consigli di amministrazione e il CISO che deve firmare il memo di chiusura. Nella maggior parte dei casi la relazione proviene da una società del panel assicurativo, ingaggiata in base alla polizza, con un ambito e un budget approvati dalla compagnia. Quella società può aver fatto un buon lavoro. Aveva anche un rapporto con il cliente da proteggere e una scadenza da rispettare, e le domande che non ha posto non sono nella relazione. Un secondo parere da parte di qualcuno fuori dal panel, che non vende la remediation e che non verrà ingaggiato per il prossimo incidente in forza di ciò che dice su questo, è il controllo.

Il momento è dopo la relazione finale del responder e prima che la decisione di chiusura si cristallizzi in notifiche ai regolatori, lettere ai clienti, una narrazione assicurativa o una dichiarazione in un'operazione. È la domanda che il consiglio sta davvero ponendo: è stato contenuto, e come lo sappiamo. Se l'intrusione è ancora in corso, quella è risposta agli incidenti, un incarico diverso con tempi diversi.

Quando non ingaggiarmi

Non mi ingaggi per confermare una chiusura che il consiglio ha già annunciato, né per produrre una versione più accomodante dei risultati della società del panel. Se le evidenze non sono mai state preservate e non possono essere recuperate, dirò che la revisione non può giungere a una conclusione, e quella sarà la conclusione che otterrà. Se ciò che le serve è rifare l'intera indagine, si tratta di un incarico più ampio e lo definirò come tale invece di chiamarlo revisione. E se il lavoro del responder è solido, la revisione lo dirà chiaramente, il che vale la pena avere in archivio ma non è ciò che tutti vogliono pagare.

Cosa ottiene

Una determinazione scritta sul fatto che le evidenze sostengano contenuto, eradicato e chiuso, verificata conclusione per conclusione rispetto al fascicolo, con le aree non esaminate indicate e la raccolta o l'analisi aggiuntiva necessaria per chiuderle. Dove le conclusioni del responder reggono, la revisione lo dice, e il consiglio di amministrazione ha una base indipendente per la propria decisione. Dove non reggono, il consiglio lo sente da me, in privato, prima di sentirlo dall'attaccante o dal regolatore. Non accetto lavoro da panel assicurativi, non vendo la remediation, e la persona che legge le evidenze è la persona che firma la conclusione.

Arriva come conclusione scritta nel formato del memorandum di esempio: la domanda, le evidenze esaminate, le ipotesi su cui poggia, i risultati, le incognite e cosa fare dopo.

Domande frequenti

Cos'è una revisione di chiusura incidente?

Una revisione indipendente, dopo che una società di risposta agli incidenti ha consegnato la propria relazione, per stabilire se le evidenze sostengono la conclusione che la violazione sia stata contenuta ed eradicata. Rilegge le evidenze raccolte, verifica ogni risultato rilevante rispetto ad esse, individua ciò che non è stato esaminato e dichiara per iscritto se la chiusura regge, regge a determinate condizioni o non regge.

Quanto costa una revisione di chiusura incidente?

Tipicamente $20,000–$30,000+ a seconda dell'ambito. Gli incarichi vengono definiti e quotati per iscritto dopo una breve chiamata di inquadramento. L'ambito dipende dalla dimensione dell'insieme di evidenze, dal numero di conclusioni nella relazione del responder e dalla data su cui lavora il consiglio. Mi contatti con l'indice della relazione e la data della decisione, e risponderò con un ambito scritto.

Perché non chiedere alla società di risposta agli incidenti di confermare il contenimento?

Può farlo, e dovrebbe. Ma la società sta controllando il proprio lavoro, sull'insieme di evidenze che ha scelto di raccogliere, nell'ambito approvato dall'assicuratore. Un secondo parere da parte di chi non ha avuto alcun ruolo nella risposta e nessun interesse nell'esito risponde a una domanda diversa: non se la società ha fatto ciò che le è stato chiesto, ma se ciò che le è stato chiesto era sufficiente.