Sich auf einen Vorfall vorbereiten, bevor er geschieht
Was man im Voraus schreibt
Wer führt, wer mit Kunden spricht, wer dem Regulierer gegenübersteht und wie man außerhalb möglicherweise kompromittierter Systeme kommuniziert. Eine Kontaktliste kritischer Anbieter und Versicherungsdetails falls vorhanden.
Grundverfahren: wie man Zugang kappt, wie man Token widerruft, wie man eine Umgebung unter Erhaltung von Beweisen einfriert.
Die Reihenfolge der Aktionen
Die Ausbreitung stoppen, Beweise sichern, den Umfang bewerten, beheben und erst dann zur Normalität zurückkehren. Löschen Sie ein kompromittiertes System nicht, bevor Sie das Nötige gesammelt haben — das ist Beweisvernichtung, die zu Ihnen zurückkehrt.
Dokumentieren Sie jede Aktion mit einer Zeit. Das ist später die Grundlage des Berichts.
Meldung
Es gibt Fälle mit einer Pflicht, Behörden und Betroffene zu benachrichtigen, mitunter in kurzer Frist. Prüfen Sie das im Voraus mit einer qualifizierten Stelle — nicht mitten im Vorfall.
Im Detail
Führen Sie einmal im Jahr eine Planübung durch: ein Szenario, eine Uhr und alle Rolleninhaber im Raum. Die Übung offenbart stets zwei oder drei grundlegende Lücken — eine Berechtigung, die niemand hat, einen Ansprechpartner, der ging, oder ein Verfahren, das auf einem System beruht, das im Szenario selbst nicht verfügbar ist.