Tavolo di risposta alle violazioni

Cos’è Tavolo di risposta alle violazioni?

La maggior parte della formazione sulle violazioni spiega le regole. Questo esercizio fa sì che lo studente li applichi alla quarta ora con un terzo dei fatti, che è il punto in cui la risposta alla violazione effettivamente va storta. Seduti nel posto riservato in una simulazione di crisi, devono affrontare quattro decisioni, e in ognuna la risposta corretta è quella contro cui un'altra funzione sul ponte sta discutendo. La sicurezza vuole che l'orologio delle notifiche inizi alla conferma forense piuttosto che nel momento in cui un tecnico di turno trova i sistemi crittografati. L'infrastruttura vuole essere cancellata e ricostruita stasera per ripristinare il commercio, il che distruggerebbe anche l'unica prova di ciò che ha lasciato la rete. Il direttore finanziario vuole sapere se il pagamento del riscatto significa che non c'è nulla da notificare. L'ufficio legale vuole attendere il rapporto forense completato in modo che l'archiviazione sia accurata, senza notare che l'attesa non è un'opzione offerta dal regolamento. Lo studente quindi archivia la notifica, incluso ciò che non è ancora stato stabilito e quando seguirà, decide se le password con hash consentono all'organizzazione di evitare di dirlo a 2,1 milioni di persone e rifiuta una dichiarazione pubblica che sottostima una cifra già archiviata in privato. Il debriefing fissa la cronologia rispetto alla strada non intrapresa, dove lo stesso incidente termina tardi, di portata inconoscibile e segnalato due volte.

Cosa imparerai in Tavolo di risposta alle violazioni

• Determinare quando inizia l'orologio delle notifiche e perché il ritardo dell'escalation interna conta come tempo sull'orologio
• Valuta la conservazione delle prove forensi rispetto al ripristino del servizio e scopri quali prove giustificano una notifica
• Spiegare cosa comporta e cosa non cambia il pagamento di un riscatto in merito agli obblighi di notifica e alla valutazione del rischio
• Invia una notifica in più fasi: cosa è noto, cosa non lo è e quando seguirà il resto
• Giudicare quando gli individui devono essere informati direttamente e dove cessa di applicarsi l’esenzione dall’incomprensibilità
• Riconoscere che il volume da solo non rende il contatto individuale sproporzionato
• Mantenere una dichiarazione pubblica coerente con quanto comunicato in privato
• Registra il ragionamento alla base di ogni decisione, poiché una risposta viene giudicata in base a ciò che era ragionevole in quel momento

Tavolo di risposta alle violazioni — Fasi della formazione

1. Introduzione

   Oggi prendi il posto riservato su un ponte incidentato durante una simulazione di crisi completa. La parte difficile di una violazione grave è non conoscere le regole. Li sta applicando alla quarta ora con un terzo dei fatti, mentre ogni altra funzione sul ponte vuole una decisione adatta al proprio problema.

2. Si apre la simulazione

   Alice ha un messaggio da Nils Ostrand, che gestisce esercizi di crisi per Torvell Retail Group. La simulazione annuale inizierà tra pochi minuti e lei sarà nel posto riservato.

3. Unirsi al Ponte

   La simulazione si apre sull'incidente bridge, la console condivisa da cui operano tutte le funzioni durante un incidente grave.

4. Prendere il posto

   Il bridge tiene traccia dell'orologio trascorso, dello stato di ogni flusso di lavoro e di ogni decisione registrata nei confronti della persona che l'ha presa.

5. Ora Zero

   La prima iniezione arriva. Il ransomware ha crittografato la piattaforma del cliente durante la notte e gli aggressori hanno lasciato una nota affermando di aver preso una copia del database del cliente prima di crittografarlo. Nessuno può ancora confermare se qualcosa abbia effettivamente lasciato la rete.

6. Quando l'orologio è iniziato

   La prima decisione del bridge è procedurale e tutto il resto dipende da essa. La sicurezza sostiene che l'orologio dovrebbe iniziare quando la scientifica conferma ciò che è stato preso, perché la notifica di un reclamo in una richiesta di riscatto non è una prova.

7. Registrazione dell'ora di inizio

   Alice registra la posizione in modo che il resto del ponte funzioni con un solo orologio anziché con quattro.

8. Terza ora: ricostruire o preservare

   L'infrastruttura vuole cancellare i server interessati e ricostruirli dalle immagini stasera. Il commercio è in calo, la tenuta perde entrate di ora in ora e la ricostruzione è la via più veloce per tornare indietro. La cancellazione dei server distrugge anche l'unica prova di ciò che ha fatto l'aggressore e se qualcosa ha lasciato la rete.

9. Cosa ha comprato la preservazione

   L'imaging aggiunge cinque ore prima che il restauro possa iniziare. Il ponte lo accetta.

10. Ora diciannove: La domanda

    Gli aggressori prendono contatto. Vogliono un pagamento e in cambio si impegnano a cancellare la loro copia dei dati e a fornire una chiave di decrittazione. Il Chief Financial Officer sottolinea che pagare è più economico dell'alternativa e si chiede se la cancellazione da parte dell'aggressore significhi che non c'è nulla da notificare.