Tabletop zur Reaktion auf Sicherheitsverletzungen

Was ist Tabletop zur Reaktion auf Sicherheitsverletzungen?

In den meisten Schulungen zu Verstößen werden die Regeln erläutert. Diese Übung bringt den Lernenden dazu, sie in der vierten Stunde mit einem Drittel der Fakten anzuwenden, wo die Reaktion auf Verstöße tatsächlich schief geht. Während sie in einer Krisensimulation auf dem Privatsitz sitzen, stehen sie vor vier Entscheidungen, und in jeder davon ist die richtige Antwort diejenige, gegen die eine andere Funktion auf der Brücke argumentiert. Die Sicherheit möchte, dass die Benachrichtigungsuhr bei der forensischen Bestätigung beginnt und nicht in dem Moment, in dem ein Bereitschaftstechniker die verschlüsselten Systeme findet. Die Infrastruktur möchte heute Abend gelöscht und neu aufgebaut werden, um den Handel wiederherzustellen, was auch die einzigen Beweise dafür zerstören würde, was das Netzwerk verlassen hat. Der Finanzvorstand möchte wissen, ob die Zahlung des Lösegelds bedeutet, dass es nichts zu melden gibt. Die Rechtsabteilung möchte auf den vollständigen forensischen Bericht warten, damit die Einreichung korrekt ist, ohne zu bemerken, dass Warten keine Option ist, die die Verordnung bietet. Der Lernende reicht dann die Benachrichtigung ein, einschließlich dessen, was noch nicht feststeht und wann sie folgen wird, entscheidet, ob die Organisation es mit gehashten Passwörtern vermeiden kann, 2,1 Millionen Menschen darüber zu informieren, und lehnt eine öffentliche Erklärung ab, die eine bereits privat eingereichte Zahl unterschätzt. Bei der Nachbesprechung wird der Zeitplan auf den nicht eingeschlagenen Weg abgeglichen, bei dem derselbe Vorfall verspätet endet, sein Ausmaß nicht erkennbar ist und zweimal gemeldet wird.

Was Sie lernen in Tabletop zur Reaktion auf Sicherheitsverletzungen

• Bestimmen Sie, wann die Benachrichtigungsuhr startet und warum die interne Eskalationsverzögerung als Zeit auf der Uhr zählt
• Wägen Sie die Sicherung forensischer Beweise gegen die Wiederherstellung des Dienstes ab und sehen Sie, welche Beweise eine Benachrichtigung bewirken
• Erklären Sie, was eine Lösegeldzahlung bewirkt und was nicht, was die Meldepflichten und die Risikobewertung betrifft
• Reichen Sie eine Meldung in Phasen ein: Was ist bekannt, was nicht und wann folgt der Rest
• Beurteilen Sie, wann Einzelpersonen direkt informiert werden müssen und wann die Ausnahmeregelung wegen Unverständlichkeit keine Anwendung mehr findet
• Erkennen Sie, dass die Lautstärke allein den individuellen Kontakt nicht unverhältnismäßig macht
• Halten Sie eine öffentliche Erklärung im Einklang mit dem, was privat mitgeteilt wurde
• Notieren Sie die Gründe für jede Entscheidung, da eine Antwort danach beurteilt wird, was zum jeweiligen Zeitpunkt angemessen war

Tabletop zur Reaktion auf Sicherheitsverletzungen — Trainingsschritte

1. Einführung

   Heute nehmen Sie während einer vollständigen Krisensimulation den Privatsphärensitz auf einer Zwischenfallbrücke ein. Der schwierige Teil eines schwerwiegenden Verstoßes besteht darin, die Regeln nicht zu kennen. Sie wenden sie in der vierten Stunde mit einem Drittel der Fakten an, während alle anderen Funktionen auf der Brücke eine Entscheidung wünschen, die zu ihrem eigenen Problem passt.

2. Die Simulation wird geöffnet

   Alice hat eine Nachricht von Nils Ostrand, der Krisenübungen für die Torvell Retail Group leitet. Die jährliche Simulation beginnt in wenigen Minuten und sie sitzt auf dem Privatplatz.

3. Der Brücke beitreten

   Die Simulation wird auf der Incident Bridge geöffnet, der gemeinsamen Konsole, von der aus alle Funktionen während eines größeren Vorfalls ausgeführt werden.

4. Den Platz einnehmen

   Die Brücke verfolgt die verstrichene Zeit, den Status jedes Arbeitsablaufs und jede aufgezeichnete Entscheidung gegenüber der Person, die sie getroffen hat.

5. Stunde Null

   Der erste Einspritzer landet. Ransomware hat die Kundenplattform über Nacht verschlüsselt, und die Angreifer haben eine Notiz hinterlassen, in der sie behaupten, sie hätten vor der Verschlüsselung eine Kopie der Kundendatenbank gestohlen. Ob tatsächlich etwas das Netzwerk verlassen hat, kann noch niemand bestätigen.

6. Als die Uhr begann

   Die erste Entscheidung der Brücke ist verfahrensrechtlicher Natur und alles andere hängt davon ab. Der Sicherheitsdienst argumentiert, dass die Uhr beginnen sollte, wenn die Forensik bestätigt, was gestohlen wurde, da die Benachrichtigung über einen Anspruch in einer Lösegeldforderung kein Beweis ist.

7. Aufzeichnen der Startzeit

   Alice zeichnet die Position auf, sodass der Rest der Brücke mit einer Uhr statt mit vier Uhr arbeitet.

8. Stunde drei: Wiederaufbauen oder Bewahren

   Infrastructure möchte heute Abend die betroffenen Server löschen und anhand von Images neu erstellen. Der Handel ist rückläufig, das Anwesen verliert stündlich Einnahmen und der Wiederaufbau ist der schnellste Weg zurück. Durch das Löschen der Server werden auch die einzigen Beweise dafür vernichtet, was der Angreifer getan hat und ob etwas das Netzwerk verlassen hat.

9. Was Preservation gekauft hat

   Die Bildbearbeitung dauert fünf Stunden, bevor die Wiederherstellung beginnen kann. Die Brücke akzeptiert es.

10. Stunde neunzehn: Die Nachfrage

    Die Angreifer nehmen Kontakt auf. Sie verlangen eine Zahlung und verpflichten sich im Gegenzug, ihre Kopie der Daten zu löschen und einen Entschlüsselungsschlüssel bereitzustellen. Der Finanzvorstand weist darauf hin, dass das Bezahlen günstiger sei als die Alternative und fragt, ob durch die Löschung durch den Angreifer nichts zu melden sei.