Brak 100% pewności
Opóźnienie w przekazaniu wczesnego ostrzeżenia może wynikać z opóźnienia w wewnętrznej identyfikacji incydentu.
Zespół IT wykrył podejrzany wyciek danych z bazy CRM w środę rano. Przez następne dwa dni sprawdzano logi w celu ustalenia osoby odpowiedzialnej za ujawnienie danych oraz oszacowania liczby skradzionych plików.
Konsekwencje: Raport do CSIRT przekazano w sobotę, po potwierdzeniu sprawdzanych informacji. Ustawowy termin został przekroczony o kilkadziesiąt godzin.
Identyfikacja incydentu powinna wiązać się z przekazaniem wczesnego ostrzeżenia w terminach określonych w ustawie, nawet jeżeli nie wszystkie okoliczności incydentu zostały potwierdzone.
Wydłużona ścieżka akceptacji
Wdrożona procedura obsługi incydentów powinna zapewniać krótką ścieżkę akceptacji zgłoszenia, umożliwiającą jego przekazanie w ustawowych terminach. Wydłużenie tej ścieżki może uniemożliwić terminowe zgłoszenie incydentu.
Zespół bezpieczeństwa, powołany zgodnie z procedurą obsługi incydentów, przygotował formularz zgłoszenia incydentu w ciągu 3 godzin od wykrycia ataku. Dział prawny, do którego trafiło zgłoszenie, przez kilka godzin analizował ryzyko wizerunkowe. Następnie oczekiwano na akceptację analizy i formularza przez prezesa zarządu. W momencie uzyskania akceptacji minęło 29 godzin od identyfikacji zagrożenia.
Ścieżka akceptacji przekazywanych informacji powinna być ograniczona do minimum i przewidywać zastępstwa umożliwiające terminowe przygotowanie i przekazanie zgłoszenia.
Konflikt ról
Procedura zarządzania incydentami powinna jasno określać role poszczególnych osób w organizacji, których udział jest niezbędny w procesie zgłaszania incydentu. Dotyczy to w szczególności konieczności właściwego określenia ról decyzyjnych i doradczych.
Zespół IT przygotował zgłoszenie incydentu w ciągu 4 godzin, jednak wstrzymał jego wysłanie, oczekując na formalną akceptację inspektora ochrony danych. Inspektor przebywał na urlopie i odpowiedział dopiero po upływie doby, odmawiając akceptacji z uwagi na swoją doradczą rolę w organizacji. W konsekwencji ustawowy termin 24 godzin na powiadomienie CSIRT został znacznie przekroczony.
Tego rodzaju nieporozumienia kompetencyjne powinny być rozstrzygane na etapie wdrażania procedury zarządzania incydentami. Niewłaściwe wdrożenie procedur może rzutować na przyszłe zgłoszenia incydentów, jeżeli role i ścieżki zgłaszania nie zostały prawidłowo określone.
Przerwy nocne
Brak zapewnienia nieprzerwanego wsparcia zespołu bezpieczeństwa może spowodować opóźnienie w zgłoszeniu incydentu.
System antywirusowy automatycznie wykrył zaawansowany atak na stacje robocze. Zdarzenie zidentyfikowano w piątek o godzinie 20:00. System wysłał powiadomienie o zdarzeniu i jego znanych okolicznościach do zespołu obsługi incydentów. Ponieważ jednak organizacja nie zapewniła całodobowego wsparcia SOC, automatyczna wiadomość wysłana przez system została odczytana przez pracownika IT dopiero w następnym dniu roboczym.
Niewdrożenie odpowiednich zasad dotyczących czasu reakcji prowadzi w wielu przypadkach do przekroczenia terminów zgłoszeń. Ustawodawca nie przewidział możliwości wydłużenia tych terminów o dni wolne od pracy.
Niewłaściwa ocena incydentu
Opóźnienia lub zaniechania w zgłaszaniu incydentów mogą także wynikać z braku jasności co do kwalifikacji określonego zdarzenia jako incydentu.
W poniedziałek w nocy serwer obsługujący kluczowe operacje logistyczne przestał odpowiadać. Zespół IT zakwalifikował to zdarzenie jako zwykłą awarię sprzętową. Próby ponownego uruchomienia systemu i odtworzenia danych z kopii zapasowych zakończyły się jednak niepowodzeniem. Dopiero po dwóch dniach zorientowano się, że doszło do zaszyfrowania plików na skutek ataku ransomware. W konsekwencji zgłoszenie do CSIRT wysłano z rażącym opóźnieniem.
Zespół odpowiedzialny za identyfikację incydentów powinien zostać przeszkolony w zakresie ich oceny (na praktycznych przykładach) oraz stosowania procedury zarządzania incydentami (jeśli to możliwe, z wykorzystaniem symulacji takich zdarzeń i sposobów reagowania organizacji).
Rekomendacje
Rygorystyczne wymogi czasowe dotyczące zgłaszania informacji o incydentach uwidaczniają luki w zarządzaniu incydentami. Często opóźnienia nie wynikają z intencjonalnych działań ani ze złej woli pracowników lub użytkowników, lecz są skutkiem czynników proceduralnych i psychologicznych.
Zarządzanie incydentami i określanie dopuszczalnego czasu procedowania zgłoszeń musi uwzględniać: pozorną potrzebę uzyskania pełnego potwierdzenia incydentu, ścieżki podejmowania decyzji, spory kompetencyjne, jednoznaczność definicji (incydent, zgłoszenie), przerwy przypadające na dni wolne od pracy oraz plany awaryjne na wypadek paraliżu przyjętych ścieżek komunikacji.
Zapewnienie terminowości zgłoszeń wymaga także podjęcia w organizacji działań zwiększających świadomość (szkoleń) oraz przygotowania konkretnych, czytelnych instrukcji postępowania w przypadku identyfikacji incydentu. Warto, aby materiały szkoleniowe zawierały praktyczne przykłady, a procedura została przećwiczona w ramach kontrolowanej symulacji incydentu.
Artykuł pochodzi z Systemu Legalis Księgowość Kadry Biznes. Zaloguj się po więcej lub kup dostęp →
