Направление: Проверка закрытия инцидента
Ведущий: Joey Victorino — личное ведение
Основание: После итогового отчёта команды реагирования · до того, как совету директоров, регулятору или страховщику сообщат о закрытии
Контакты: joey@victori.no

Независимая проверка закрытия инцидента до того, как совет директоров примет слово «локализован».

Компания по реагированию представила отчёт и рекомендует закрыть инцидент. Прежде чем принять это, доказательства, на которых он основан, должен прочитать кто-то, не заинтересованный в ответе.

Что я делаю

Перечитать доказательства, а не отчётЯ возвращаюсь к тому, что было фактически собрано: криминалистические образы, журналы, телеметрия конечных точек, записи систем идентификации, хронология. Отчёт — это интерпретация команды реагирования. Проверка сверяет интерпретацию с источником.

Проверить каждый существенный выводПервоначальный доступ, объём, закрепление, эксфильтрация, устранение. Каждый вывод либо подтверждён названным артефактом, либо выведен из его отсутствия, либо принят как допущение. Я письменно фиксирую, что именно, и что эта разница означает для решения, которое перед Вами.

Назвать то, что не было изученоСистемы, с которых не сняты образы, несохранённые источники журналов, непроверенные учётные записи, неопрошенные третьи стороны, непокрытое временное окно. Пробелы в доказательствах — это выводы. Именно там живёт второе вторжение.

Заключить, состоятельно ли закрытиеСостоятельно, состоятельно только при названных условиях или несостоятельно. Один из трёх вариантов, письменно, за моей подписью, вместе с тем, что должно произойти, прежде чем протокол зафиксирует инцидент как закрытый.

Для кого

Главные юрисконсульты, комитеты по аудиту, советы директоров и CISO, которому предстоит подписать меморандум о закрытии. Чаще всего отчёт подготовлен компанией из панели страховщика, привлечённой по полису, в объёме и бюджете, утверждённых страховой. Возможно, эта компания хорошо поработала. Но ей также нужно было сохранить отношения с клиентом и уложиться в срок, а вопросы, которые она не задала, в отчёте отсутствуют. Второе мнение от того, кто не входит в панель, не продаёт устранение последствий и не будет нанят на следующий инцидент благодаря тому, что скажет об этом, — и есть та самая проверка.

Момент — после итогового отчёта команды реагирования и до того, как решение о закрытии затвердеет в уведомлениях регуляторам, письмах клиентам, страховой версии событий или заверении в сделке. Это тот вопрос, который на самом деле задаёт совет директоров: был ли инцидент локализован и откуда мы это знаем. Если вторжение всё ещё продолжается, это реагирование на инциденты — это другой проект с другими сроками.

Когда не стоит меня привлекать

Не привлекайте меня, чтобы подтвердить закрытие, которое совет директоров уже объявил, или чтобы подготовить более мягкую версию выводов панельной компании. Если доказательства не были сохранены и не могут быть восстановлены, я скажу, что проверка не может прийти к заключению, и именно это заключение Вы получите. Если Вам нужно повторное проведение полного расследования, это более крупный проект, и я определю его объём как таковой, а не назову проверкой. И если работа команды реагирования выполнена добросовестно, проверка прямо так и скажет — это стоит иметь в деле, но не все готовы за это платить.

Что Вы получаете

Письменное определение того, подтверждают ли доказательства статус «локализован, устранён, закрыт», проверенное вывод за выводом по материалам дела, с указанием неизученных областей и дополнительного сбора или анализа, необходимого для их закрытия. Там, где выводы команды реагирования состоятельны, проверка так и говорит, и совет директоров получает независимое основание для своего решения. Там, где они несостоятельны, совет директоров услышит это от меня, конфиденциально, раньше, чем от злоумышленника или регулятора. Я не беру работу от страховых панелей, не продаю устранение последствий, и человек, который читает доказательства, — тот же, кто подписывает заключение.

Результат — письменное заключение в формате образца меморандума: вопрос, изученные доказательства, допущения, на которых оно основано, выводы, неизвестные и дальнейшие шаги.

Частые вопросы

Что такое проверка закрытия инцидента?

Независимая проверка, после отчёта компании по реагированию на инциденты, того, подтверждают ли доказательства вывод о локализации и устранении инцидента. Собранные доказательства перечитываются, каждый существенный вывод проверяется по ним, выявляется то, что не было изучено, и письменно фиксируется, состоятельно ли закрытие, состоятельно с условиями или несостоятельно.

Сколько стоит проверка закрытия инцидента?

Обычно $20,000–$30,000+ в зависимости от объёма. Объём и стоимость работ определяются письменно после короткого звонка. Объём зависит от размера набора доказательств, числа выводов в отчёте команды реагирования и даты, к которой работает совет директоров. Пришлите оглавление отчёта и дату решения — я отвечу письменным описанием объёма работ.

Почему не попросить компанию по реагированию подтвердить локализацию?

Можно и нужно. Но компания проверяет собственную работу, на том наборе доказательств, который сама решила собрать, в объёме, утверждённом страховщиком. Второе мнение от того, кто не участвовал в реагировании и не заинтересован в исходе, отвечает на другой вопрос: не сделала ли компания то, о чём её просили, а достаточно ли было того, о чём её просили.

По теме

Инцидент локализован. Это не значит, что он закрыт. Пробелы в доказательствах — это выводы

Изложите проблему → Все услуги