zespół reagowania

Zespół reagowania to grupa osób odpowiedzialna za obsługę incydentów bezpieczeństwa.

Kto właściwie gasi pożar

Zespół reagowania to wyznaczony z góry skład osób z przypisanymi rolami, który przejmuje sprawę w momencie incydentu. W większej organizacji rozdziela się cztery role: koordynator prowadzący całość i decydujący o odcięciu systemów, technik analizujący ślady, osoba odpowiadająca za komunikację z zarządem, klientami i ewentualnie z organem nadzorczym, oraz protokolant zapisujący, co i o której godzinie zrobiono. Ostatnia rola wygląda na zbędną do czasu, gdy trzeba odtworzyć przebieg zdarzeń tydzień później. W małej firmie te role skupiają się na dwóch osobach i to jest w porządku — warunkiem jest, żeby zostały nazwane wcześniej, a nie ustalane w chwili, gdy komputery już się szyfrują.

Plan działania spisany przed zdarzeniem

Wartość zespołu bierze się z przygotowania. Podstawą jest lista kontaktów dostępna poza siecią firmy — wydrukowana albo na telefonie — bo gdy padnie serwer plików, książka adresowa też przestaje działać. Do tego spis systemów uszeregowany według tego, co musi wrócić najpierw: zwykle najpierw baza handlowa i wystawianie dokumentów, potem poczta, na końcu reszta. Trzeci element to progi decyzyjne zapisane wcześniej: przy jakim objawie odcinamy sieć, kto może podjąć decyzję o wyłączeniu serwera, kogo budzimy w nocy. Czwarty to ustalone kanały zapasowe komunikacji, bo omawianie ataku na firmowym czacie, do którego napastnik ma dostęp, jest dokładnie tym, czego robić nie należy. Piąty, najczęściej pomijany: przetestowane odtworzenie z kopii zapasowej, wykonane na sucho przed incydentem i zmierzone w godzinach.

Dlaczego reakcje się rozłażą

Najczęstsza porażka to rozproszona odpowiedzialność — wszyscy wiedzą, że coś się dzieje, i wszyscy czekają, aż zajmie się tym ktoś inny. Druga: pierwsza reakcja polegająca na restarcie i skanowaniu, która niszczy ślady i nie zatrzymuje niczego, bo źródło siedzi na innej maszynie. Trzecia: brak uprawnień u ludzi, którzy mają działać, więc zamiast odcinać systemy szukają nocą hasła administratora. Czwarta: kontakty do zewnętrznego wsparcia zapisane wyłącznie w systemie, który właśnie przestał działać. Piąta: milczenie wobec pracowników, przez co ludzie próbują na własną rękę uruchamiać komputery, które celowo odłączono. Warto też pamiętać, że incydent nie kończy się w chwili odzyskania danych — pozostaje ustalenie drogi wejścia i zamknięcie jej, inaczej za dwa tygodnie historia się powtórzy tym samym kanałem.

Zewnętrzne ręce do pracy w kryzysie

Mniejsze firmy nie utrzymują własnego zespołu i nie muszą — rolę techniczną można oprzeć na serwisie zewnętrznym, o ile jest osiągalny wtedy, kiedy się dzieje. Pracujemy przez całą dobę, siedem dni w tygodniu, i możemy wejść w rolę technicznego ramienia zespołu: odciąć zajęte stanowiska, sprawdzić stan kopii, ocenić zasięg i odbudować systemy w ustalonej kolejności. Przy serwerach z bazami Subiekta, WAPRO czy Comarch odtwarzamy bazę i uzgadniamy ją z wersją aplikacji, bo niedopasowanie tych dwóch rzeczy zatrzymuje wystawianie dokumentów mimo odzyskanych plików. Na czas odbudowy dajemy laptopy zastępcze, a sprzęt do naprawy odbieramy i zwracamy własnym transportem, bez pośredników.