Intsidentidele reageerimise poliitika

Intsidentidele reageerimise poliitika (dokument P30) formaliseerib tugeva raamistiku, mis tagab, et organisatsioon suudab tõhusalt hallata ja lahendada mitmekesist infoturbeintsidentide spektrit. Poliitika peamine eesmärk on kehtestada korratavad protsessid intsidentide tuvastamiseks, intsidentidest teavitamiseks, analüüsimiseks, ohjeldamiseks ja taastamiseks, edendades samal ajal pidevat täiustamist intsidendijärgsete hindamiste kaudu. Kehtestades keskse intsidentidele reageerimise raamistiku, mis on kooskõlas rahvusvaheliste standarditega nagu ISO/IEC 27035, tagab poliitika struktureeritud lähenemise kõigis intsendifaasides: ettevalmistus, tuvastamine ja analüüs, ohjeldamine/kõrvaldamine/taaste ning intsidendijärgne ülevaatus. See poliitika hõlmab laialdaselt organisatsiooni funktsioone, laiendades nõudeid kogu personalile, sh töövõtjatele ja kolmanda osapoole teenuseosutajatele, ning katab kõik organisatsiooni infosüsteemid, olenemata sellest, kas need on kohapealsed, pilves majutatud süsteemid või hübriidkeskkonnad. See kehtib ulatusliku intsidentide tüübi kohta: volitamata juurdepääs, pahavara ja lunavara, teenusetõkestusrünnakud, andmeleke või andmete eksfiltreerimine, siseohud ning ka füüsilised rikkumised, mis mõjutavad digitaalseid varasid. Juhtimise jaotis nõuab, et iga intsident logitakse ametlikult intsidendihaldussüsteemis (SIMS), koos üksikasjalike metaandmetega, sh tuvastamise aeg, klassifikatsioon, mõjutatud süsteemid, tehtud tegevused, kogutud tõendid ja riskianalüüs. Kõik intsidendid kategoriseeritakse astmelise raskusastme mudeli alusel, tagades proportsionaalse reageerimise ja eskaleerimise. Peamised rollid ja vastutused on hoolikalt määratletud, et tagada volitused ja aruandekohustus ning sujuv töövoog intsidendi ajal. Infoturbejuht säilitab üldise vastutuse reageerimisraamistiku eest ning tegutseb sideliinina tippjuhtkonna ja regulaatoritega suuremate intsidentide korral. Intsidentidele reageerimise koordinaator juhib valdkondadeülest koordineerimist, jälgides reageerimise kõiki etappe ja tagades, et parandusmeetmed viiakse ellu. Turbeoperatsioonide keskus (SOC) ja IT-turbeanalüütikud vastutavad seire ja triaaži eest, juhtumite eskaleerimise ning esmaste ohjeldamistegevuste eest. Õigus- ja andmekaitseametniku rollid vastutavad regulatiivse mõju läbivaatamise ning teatamistähtaegade järgimise eest, eriti GDPR-i, NIS2 ja DORA alusel teatamiskohustuslike rikkumiste puhul. Tippjuhtkond teeb strateegilisi otsuseid kõrge raskusastmega intsidentide korral, sh avalik kommunikatsioon ja ISMS-i muudatuste heakskiitmine. Poliitika võtab kasutusele ranged mehhanismid rikkumisteadete, digitaalse kohtuekspertiisi ja tõendite käitlemise jaoks, nõudes, et teavitamine asutustele ja mõjutatud sidusrühmadele toimub vastavalt määratletud õiguslikele ja lepingulistele teatamistähtaegadele. Digitaalse kohtuekspertiisi protseduurid hõlmavad ketta kujutise loomist kirjutusblokeerijatega, ahela (chain-of-custody) jälgimist ning krüpteeritud tõendite säilitamist, koos õiguskaitseasutustega koordineerimisega, kui see on nõutav. Kõik kõrvalekalded poliitikast, näiteks reageerimisaja või tõendite kogumise osas, peavad järgima ranget riskipõhist erandite käsitlemise protsessi, koos dokumenteerimise, infoturbejuhi heakskiidu ja kvartaalsete riskide ülevaatustega. Tõhususe ja õigusnormidele vastavuse tagamiseks nõuab poliitika iga-aastaseid ülevaatusi, regulaarseid intsidentidele reageerimise õppusi ning selgeid mõõdikuid, nagu Mean Time to Detect (MTTD), Mean Time to Contain (MTTC) ja intsidendijärgsete ülevaatuste lõpetamise protsent. Audit ja nõuetele vastavuse seire valideerivad auditivalmidust ja jõustavad järgimist, koos määratletud tagajärgedega mittevastavuse korral, sh distsiplinaarmeetmed kuni lepingu lõpetamiseni või regulatiivse teavitamiseni. Poliitika on tihedalt integreeritud toetavate poliitikatega andmete klassifitseerimise, muudatuste juhtimise, krüptograafiliste kontrollimeetmete, varundussüsteemide ja taaste ning logimis- ja seirepoliitika valdkondades, tagades tervikliku ja kaitstava intsidentideks valmisoleku riskipositsiooni.