De ongelukkige waarheid is dat hoewel bedrijven meer investeren in cyberbeveiliging en cyberbeveiliging serieuzer dan ooit nemen, succesvolle inbreuken en ransomware-aanvallen toenemen. Hoewel een succesvolle inbreuk niet onvermijdelijk is, wordt het steeds waarschijnlijker ondanks alle inspanningen om het te voorkomen.
Net zoals het niet regende toen Noah de ark bouwde, moeten bedrijven onder ogen zien dat ze zich moeten voorbereiden – en de organisatie moeten informeren over – een goed doordacht reactieplan als er een succesvolle cyberaanval plaatsvindt. Het is duidelijk dat de slechtste tijd om uw reactie op een cyberaanval te plannen, is wanneer deze plaatsvindt.
Met zoveel bedrijven die het slachtoffer worden van cyberaanvallen, is er een hele huisindustrie van Incident Response (IR)-diensten ontstaan. Duizenden IR-opdrachten hebben geholpen om best practices en paraatheidsgidsen aan het licht te brengen om diegenen te helpen die nog niet het slachtoffer zijn geworden van een cyberaanval.
Onlangs heeft cyberbeveiligingsbedrijf Cynet een Word-sjabloon voor incidentresponsplan om bedrijven te helpen bij het plannen van dit ongelukkige voorval.
Plannen voor het ergste
Het oude gezegde “hoop op het beste, plan op het ergste” is hier niet helemaal juist. De meeste bedrijven zijn actief bezig om zichzelf te beschermen tegen cyberaanvallen en hopen zeker niet alleen op het beste. Toch is het zeer de moeite waard om te plannen wat er na de inbreuk moet gebeuren, zodat het bedrijf onmiddellijk in actie kan komen in plaats van te wachten tot het plan er is. Wanneer er een inbreuk plaatsvindt en aanvallers toegang hebben tot het netwerk, telt elke seconde.
Een IR-plan documenteert in de eerste plaats duidelijke rollen en verantwoordelijkheden voor het responsteam en definieert het proces op hoog niveau dat het team zal volgen bij het reageren op een cyberincident. De IR-plansjabloon die door Cynet is gemaakt, beveelt aan het gestructureerde 6-stappen IR-proces te volgen dat is gedefinieerd door het SANS Institute in hun Handboek voor incidentafhandelaarswat trouwens een andere geweldige IR-bron is.
De zes geschetste stappen zijn:
- Voorbereiding— een organisatorisch beveiligingsbeleid beoordelen en codificeren, een risicobeoordeling uitvoeren, gevoelige activa identificeren, bepalen op welke kritieke beveiligingsincidenten het team zich moet concentreren, en een Computer Security Incident Response Team (CSIRT) samenstellen.
- Identificatie— toezicht houden op IT-systemen en afwijkingen van de normale bedrijfsvoering opsporen en nagaan of deze daadwerkelijke beveiligingsincidenten zijn. Wanneer een incident wordt ontdekt, verzamelt u aanvullend bewijs, stelt u het type en de ernst vast en documenteert u alles.
- insluiting— kortetermijnbeheersing uitvoeren, bijvoorbeeld door het netwerksegment dat wordt aangevallen te isoleren. Richt u vervolgens op insluiting op de lange termijn, waarbij tijdelijke oplossingen nodig zijn om systemen in productie te laten gaan, terwijl schone systemen opnieuw worden opgebouwd.
- uitroeiing—verwijder malware van alle getroffen systemen, identificeer de hoofdoorzaak van de aanval en onderneem actie om soortgelijke aanvallen in de toekomst te voorkomen.
- Herstel—aangedane productiesystemen zorgvuldig weer online brengen om nieuwe aanvallen te voorkomen. Test, verifieer en bewaak de getroffen systemen om ervoor te zorgen dat ze weer normaal werken.
- Les geleerd— uiterlijk twee weken na het einde van het incident een retrospectief van het incident uitvoeren. Bereid volledige documentatie van het incident voor, onderzoek het incident verder, begrijp wat er is gedaan om het in te dammen en of er iets in het incidentresponsproces kan worden verbeterd.
De IR-plansjabloon helpt organisaties om het bovenstaande te codificeren in een werkbaar plan dat door de hele organisatie kan worden gedeeld. Cynet’s IR-plansjabloon biedt een checklist voor elk van de IR-stappen, die natuurlijk kan en moet worden aangepast op basis van de specifieke omstandigheden van elk bedrijf.
Bovendien gaat de Cynet IR-plansjabloon dieper in op de IR-teamstructuur, samen met rollen en verantwoordelijkheden om te voorkomen dat iedereen met brandende haren rondrent tijdens de verwoede poging om te herstellen van een cyberincident. Met veel bewegende stukken en taken die moeten worden uitgevoerd, is het van cruciaal belang dat het personeel zich voorbereidt en weet wat er van hen wordt verwacht.
Jij kan download hier het Word-sjabloon
