Polityka reagowania na incydenty

Polityka reagowania na incydenty (P30) formalizuje solidne ramy zapewniające, że organizacja może skutecznie zarządzać i reagować na zróżnicowane spektrum incydentów bezpieczeństwa informacji. Głównym celem polityki jest ustanowienie powtarzalnych procesów identyfikowania, zgłaszania, analizowania, powstrzymania oraz odzyskiwania po incydentach, przy jednoczesnym wspieraniu ciągłego doskonalenia poprzez oceny po incydencie. Poprzez ustanowienie centralnych ram reagowania na incydenty zgodnych z międzynarodowymi normami, takimi jak ISO/IEC 27035, polityka zapewnia ustrukturyzowane podejście we wszystkich fazach incydentu: przygotowanie, wykrywanie i analiza, powstrzymanie/usunięcie/odzyskiwanie oraz przegląd poincydentalny. Niniejsza polityka obejmuje szeroki zakres funkcji organizacyjnych, rozszerzając swoje wymagania na cały personel, w tym wykonawców i dostawców usług stron trzecich, a także obejmując wszystkie systemy informatyczne organizacji, niezależnie od tego, czy są to systemy w infrastrukturze lokalnej, w chmurze obliczeniowej czy środowiska hybrydowe. Ma zastosowanie do kompleksowego zestawu typów incydentów: nieuprawniony dostęp, złośliwe oprogramowanie i ransomware, ataki odmowy usługi, wyciek danych lub eksfiltracja danych, zagrożenia wewnętrzne, a także naruszenia fizyczne wpływające na aktywa cyfrowe. Sekcja dotycząca zarządzania wymaga, aby każdy incydent był formalnie rejestrowany w systemie zarządzania incydentami bezpieczeństwa (SIMS), wraz ze szczegółowymi metadanymi obejmującymi czas wykrycia, klasyfikację, systemy, których dotyczy, podjęte działania, zebrane dowody oraz analizę przyczyny źródłowej. Wszystkie incydenty są kategoryzowane według wielopoziomowego modelu dotkliwości, zapewniając proporcjonalne reagowanie i eskalację. Kluczowe role i odpowiedzialności są starannie zdefiniowane, aby zapewnić rozliczalność i usprawniony przepływ pracy podczas incydentu. Dyrektor ds. bezpieczeństwa informacji (CISO) zachowuje ogólną własność ram reagowania i pełni rolę łącznika z najwyższym kierownictwem oraz regulatorami podczas incydentów o dużej skali. Koordynator ds. reagowania na incydenty zarządza zespołami międzyfunkcyjnymi, śledząc każdy etap reakcji i zapewniając realizację działań korygujących. Centrum operacji bezpieczeństwa (SOC) oraz analitycy bezpieczeństwa IT odpowiadają za monitorowanie i triage zagrożeń, eskalację przypadków oraz podejmowanie wstępnych działań powstrzymujących. Role prawne oraz Inspektor Ochrony Danych odpowiadają za przegląd wpływu regulacyjnego i zapewnienie terminów powiadamiania, w szczególności dla naruszeń w ramach GDPR, NIS2 i DORA. Kierownictwo wykonawcze podejmuje decyzje strategiczne dla incydentów o wysokiej dotkliwości, w tym dotyczące komunikacji publicznej oraz zatwierdzania modyfikacji SZBI. Polityka przyjmuje rygorystyczne mechanizmy powiadamiania o naruszeniach, informatyki śledczej oraz postępowania z dowodami, wymagając, aby powiadomienia do organów oraz interesariuszy, których dotyczy, były realizowane zgodnie z określonymi terminami prawnymi i umownymi. Procedury informatyki śledczej obejmują obrazowanie dysków z użyciem blokad zapisu, śledzenie łańcucha dowodowego oraz zaszyfrowane przechowywanie dowodów, z koordynacją z organami ścigania, gdy jest to wymagane. Wszelkie odstępstwa od polityki, takie jak czas reakcji lub zbieranie dowodów, muszą podlegać ścisłemu procesowi zarządzania wyjątkami opartemu na ryzyku, z dokumentacją, zatwierdzeniem przez Dyrektora ds. bezpieczeństwa informacji (CISO) oraz kwartalnymi przeglądami ryzyka. Aby zapewnić skuteczność i zgodność regulacyjną, polityka wymaga corocznych przeglądów, regularnych ćwiczeń reagowania na incydenty oraz jasnych metryk, takich jak Mean Time to Detect (MTTD), Mean Time to Contain (MTTC) oraz odsetek ukończonych przeglądów po incydencie. Audyt i zgodność oraz monitorowanie zgodności weryfikują gotowość i egzekwują przestrzeganie, z określonymi konsekwencjami za niezgodność, w tym środkami dyscyplinarnymi aż do rozwiązania umowy lub raportowania regulacyjnego. Polityka jest ściśle zintegrowana z politykami wspierającymi w obszarach klasyfikacji danych, zarządzania zmianami, kryptografii, systemów kopii zapasowych oraz rejestrowania audytowego/monitorowania, zapewniając kompleksową i możliwą do obrony gotowość do obsługi incydentów.