Aneks A, deo 6: A.5.24–5.28 — Upravljanje incidentima

Šesti deo serije o Aneksu A. Ovde formalno organizujemo sve ono što smo neformalno gradili kroz vodič za klauzulu 4.4 i desetine primera kroz čitav blog, u jasnu, standardom propisanu strukturu od pet koraka.

Šta ove kontrole traže

A.5.24 — Planiranje i priprema upravljanja incidentima. Firma treba unapred da definiše, uspostavi i komunicira procese, uloge i odgovornosti za upravljanje bezbednosnim incidentima — pre nego što se prvi incident uopšte desi.

A.5.25 — Procena i odluka o bezbednosnim događajima. Prijavljeni događaji treba da se procene, kako bi se odlučilo da li zaista predstavljaju bezbednosni incident ili ne. Nije svaka prijava incident — deo procesa je upravo ta odluka.

A.5.26 — Odgovor na bezbednosne incidente. Kad se nešto zaista kategoriše kao incident, odgovor treba da prati unapred dokumentovanu proceduru, ne improvizaciju u trenutku.

A.5.27 — Učenje iz bezbednosnih incidenata. Znanje stečeno kroz incidente treba da se koristi za jačanje i unapređenje postojećih kontrola.

A.5.28 — Prikupljanje dokaza. Firma treba da ima procedure za identifikaciju, prikupljanje i čuvanje dokaza vezanih za bezbednosne događaje — posebno bitno ako incident kasnije zahteva prijavu nadležnim organima ili pravnu akciju.

Zašto su ove kontrole bitne

Ovih pet kontrola prati incident kroz ceo njegov životni ciklus — od pripreme pre nego što se bilo šta desi, preko odluke da li je nešto uopšte incident, do odgovora, učenja i, kad je potrebno, čuvanja dokaza. Kroz čitav blog smo ovaj ciklus primenjivali intuitivno; ovde se konačno formalno imenuje, korak po korak.

Primer iz prakse

A.5.24, sistem koji već imate: kanal za prijavu, osoba zadužena za trijažu, i registar incidenata, sve opisano u vodiču za klauzulu 4.4, direktna su primena ove kontrole. Ako ste taj vodič već primenili u sopstvenoj firmi, A.5.24 je, u praktičnom smislu, već ispunjena.

A.5.25, razlika između događaja i incidenta: setite se sumnjivog telefonskog poziva iz teksta o klauzuli 7.3, kad se neko lažno predstavljao kao predstavnik banke klijenta. To je bio bezbednosni događaj — prijavljen, procenjen od strane koordinatorke, i na kraju kategorisan kao pokušaj bez stvarnih posledica, jer nijedan podatak nije predat. Da je pozivalac zaista dobio tražene informacije, ista procena bi rezultovala drugačijom odlukom — kategorizacijom kao pravi incident, sa punim odgovorom koji sledi.

A.5.26, odgovor u praksi: original incident iz teksta o klauzuli 4.1 — finansijski izveštaj poslat pogrešnom klijentu — pokazuje kako odgovor izgleda: agencija je odmah kontaktirala pogrešnog primaoca sa zahtevom da izveštaj obriše i ne koristi, utvrdila tačno šta je poslato, i procenila da li je potrebno obavestiti i klijenta čiji su podaci bili u izveštaju — korak koji smo detaljnije obradili u tekstu o klauzuli 7.4.

A.5.27, učenje koje već poznajete: cela priča o onboarding checklisti iz teksta o klauzuli 10.2 — otkrivanje da uzrok propuštene obuke nije bio nemar pojedinaca, nego rupa u samom procesu — jeste tačna primena ove kontrole. Znanje iz jednog incidenta pretvoreno je u trajnu izmenu procesa, ne samo u ispravku tog jednog slučaja.

A.5.28, dokaz koji je bio od koristi i drugima: kad je agencija primila phishing pokušaj sličan onom o kome je ranije čitala u CERT upozorenju, opisanom u tekstu o kontrolama A.5.5–5.7, koordinatorka je sačuvala originalni mejl sa punim zaglavljem, ne samo prosleđen tekst, snimila ekran sa detaljima i zabeležila tačno vreme prijema. Kad je Nacionalni CERT kasnije tražio detalje od firmi koje su primile sličan pokušaj, radi šire analize obrasca napada, agencija je mogla odmah da dostavi kompletan, upotrebljiv materijal — nešto što ne bi bilo moguće da su samo obrisali sumnjiv mejl i nastavili dalje.

Gde se dokumentuje

Sve pet kontrola prate isti registar incidenata koji smo opisali u vodiču za klauzulu 4.4 — svaki unos treba da sadrži i procenu (A.5.25), preduzet odgovor (A.5.26), izvučenu pouku (A.5.27), i, gde je relevantno, napomenu o sačuvanim dokazima (A.5.28). Nema potrebe za pet odvojenih sistema — jedan dobro vođen registar pokriva sve.

Najčešća greška

Najčešća greška kod A.5.24 je čekanje da se prvi incident desi pre nego što se bilo šta pripremi — tačno ono što smo detaljno obradili u vodiču za klauzulu 4.4. Kod A.5.25, česta greška je tretiranje svakog prijavljenog događaja kao pun incident, bez razlike, što nepotrebno troši vreme i, paradoksalno, umanjuje pažnju posvećenu stvarno ozbiljnim slučajevima. Kod A.5.26, najčešća greška je odgovor koji zavisi od toga ko je te nedelje na poslu, umesto da prati istu proceduru bez obzira ko reaguje. Kod A.5.27, greška je zatvaranje incidenta čim se rešeni simptom, bez ikad postavljenog pitanja o uzroku — razlika koju smo detaljno obradili u klauzuli 10.2. Kod A.5.28, najčešća greška je brisanje ili gubljenje dokaza u žurbi da se problem što pre „reši i zaboravi", čime se firma unapred lišava mogućnosti da kasnije dokaže šta se tačno desilo, ako to ikad zatreba.

Šta sledi

Sledeći deo serije ide na kontrole A.5.29–5.30 — kontinuitet poslovanja, gde standard traži nešto što je koncepcijski različito od svega dosadašnjeg: ne kako sprečiti da se nešto desi, nego kako firma nastavlja da radi kad se nešto ozbiljno ipak desi.