対応領域: インシデント終結レビュー
担当: Joey Victorino — 本人が直接担当
前提条件: 対応業者の最終報告の後 · 取締役会、規制当局、保険会社に「終結」と伝える前
お問い合わせ: joey@victori.no

取締役会が「封じ込め済み」という言葉を受け入れる前の、独立したインシデント終結レビュー。

インシデント対応会社が報告書を提出し、終結が提言されている。それを受け入れる前に、答えに利害を持たない者が、その根拠となる証拠を読むべきです。

提供する業務

報告書ではなく、証拠を読み直す私は実際に収集されたものに立ち返ります： フォレンジックイメージ、ログ、エンドポイントのテレメトリ、アイデンティティの記録、タイムライン。報告書は対応業者の解釈です。レビューはその解釈を情報源に照らして検証します。

重要な結論を一つずつ検証する初期侵入、範囲、永続化、情報持ち出し、根絶。 各結論は、特定のアーティファクトに裏付けられているか、その不在から推論されているか、あるいは仮定であるかのいずれかです。どれに該当するか、そしてその違いが目の前の意思決定にとって何を意味するかを書面にします。

調査されなかった点を明示するイメージ取得されなかったシステム、 保持されなかったログソース、確認されなかったアイデンティティ、照会されなかった第三者、対象外だった期間。証拠の欠落は所見です。そこに二度目の侵入が潜んでいます。

終結が成立するかを明示する成立する、明示した条件付きでのみ成立する、または成立しない。 三つのうちの一つを、書面で、私の名前を添えて。加えて、議事録にインシデントを終結と記録する前に何が必要かを示します。

対象となる方

ジェネラルカウンセル、監査委員会、取締役会、そして終結メモに署名しなければならないCISO。多くの場合、報告書は保険契約に基づいて起用されたパネル業者が、保険会社の承認した範囲と予算のもとで作成したものです。その業者は良い仕事をしたかもしれません。しかし、守るべき顧客関係と追われる納期があり、業者が問わなかった問いは報告書にはありません。パネル外にいて、修復作業を販売せず、今回の件について述べたことを理由に次のインシデントで雇われることのない者によるセカンドオピニオンが、その確認手段です。

対象となる時点は、対応業者の最終報告の後、そして終結の判断が規制当局への届出、顧客への通知、保険の筋書き、取引における表明へと固まる前です。取締役会が実際に問うているのは、封じ込められたのか、それをどうやって知るのか、という問いです。侵入がまだ継続しているなら、それはインシデント対応であり、別の時間軸で進む別の案件です。

依頼すべきでない場合

取締役会がすでに発表した終結を追認するため、あるいはパネル業者の所見のより穏当な版を作るために私を雇わないでください。証拠が保全されておらず回復もできない場合、私はレビューが結論に達し得ないと述べます。それがお渡しする結論です。必要なのが調査全体のやり直しであれば、それはより大きな案件であり、レビューと呼ばずにそのように範囲を定めます。そして対応業者の仕事が健全であれば、レビューはそのことを率直に述べます。ファイルに残す価値はありますが、誰もが対価を払いたがるものではありません。

得られるもの

証拠が「封じ込め、根絶、終結」を裏付けているかについての書面による判定です。結論ごとに記録に照らして検証し、未調査の領域を明示し、それを埋めるために必要な追加の収集または分析を示します。対応業者の結論が成立する場合は、その旨を明記し、取締役会は独立した判断根拠を得ます。成立しない場合は、攻撃者や規制当局から聞かされる前に、私から非公開でお伝えします。保険会社パネルの案件は受けず、修復作業を販売せず、証拠を読んだ本人が結論に署名します。

成果物は書面による結論として、サンプル・メモランダムの形式でお渡しします。検討すべき問い、レビューした証拠、前提とする仮定、所見、未解明の事項、次に取るべき行動を記載します。

よくある質問

インシデント終結レビューとは何ですか。

インシデント対応会社が報告を終えた後に、侵害が封じ込められ根絶されたという結論を証拠が裏付けているかを独立して検証するレビューです。収集された証拠を読み直し、重要な所見のそれぞれを証拠に照らして検証し、調査されなかった点を特定し、終結が成立するか、条件付きで成立するか、成立しないかを書面で明示します。

インシデント終結レビューの費用はいくらですか。

通常$20,000–$30,000+、範囲により変動します。案件は、短いスコーピング面談の後に、書面で範囲と価格を定めます。範囲は、証拠セットの規模、対応業者の報告書に含まれる結論の数、取締役会が目指す期日によって決まります。報告書の目次と意思決定の期日を添えてご連絡ください。書面による範囲をお返しします。

インシデント対応会社に封じ込めの確認を求めればよいのではありませんか。

求めることはできますし、そうすべきです。しかしその会社は、自ら収集を選んだ証拠に基づき、保険会社が承認した範囲のもとで、自らの仕事を確認しているにすぎません。対応に関与せず、結果に利害を持たない者によるセカンドオピニオンは、別の問いに答えます。依頼されたことを実行したかではなく、依頼された内容がそもそも十分だったかという問いです。