侵害対応の計画

データ侵害は、非常に長い期間、場合によっては永久に会社を閉鎖する可能性があります。 それは確かにあなたの金融の未来を危険にさらす可能性があり、場合によってはあなたを刑務所に入れることさえできます。 しかし、あなたが正しく計画すれば、あなたとあなたの会社は回復し、時には数分以内にビジネスを続けることができるので、それは起こりません。 最終的には、すべて計画にかかっています。

先週、データ侵害に備える方法について議論しました。 違反が発生する前にそれを行ったと仮定すると、次の手順はかなり簡単です。 しかし、それらの準備手順の1つは、計画を作成してからテストすることでした。 そして、はい、それはかなりの量の仕事をするでしょう。

違いは、違反の前に行われた事前計画が損害を最小限に抑えることを目的としていることです。 違反後、計画は復旧プロセスに焦点を当て、余計な問題がある場合はそれに対処する必要があります。 違反前のように、全体的な目標は、違反が会社、従業員、および顧客に与える影響を最小限に抑えることです。

回復の計画

復旧計画は、大きく2つのカテゴリで構成されています。 1つ目は、侵害によって引き起こされた損害を修正し、脅威が実際に排除されることを確認することです。 2つ目は、データ侵害に伴う金銭的および法的リスクに対処することです。 組織の将来の健全性に関しては、両方が等しく重要です。

「保護は回復の観点から重要です」と、管理された保護および対応プロバイダーeSentireのソリューションエンジニアリングおよびアドバイザリーサービス担当副社長であるショーン・ブレンホーンは述べています。 「脅威を迅速に検出できれば、それだけ封じ込めることができます。」

Blenkhornは、脅威を含めることは、関与する脅威の種類によって異なる可能性があると述べました。 たとえば、ランサムウェアの場合、マネージドエンドポイント保護プラットフォームを使用して、マルウェアと二次感染を分離し、拡散できないようにしてから削除することを意味する場合があります。 また、ローミングや在宅勤務のユーザーに個人用仮想プライベートネットワーク（VPN）アカウントを装備するなど、将来の侵害がブロックされるように新しい戦略を実装することも意味します。

ただし、他の種類の脅威では、異なる戦術が必要になる場合があります。 たとえば、企業から財務情報、知的財産（IP）、またはその他のデータを探している攻撃は、ランサムウェア攻撃と同じ方法で処理されません。 そのような場合、エントリのパスを見つけて削除する必要があり、コマンドと制御メッセージを停止する方法を見つける必要があります。 そのため、これらのメッセージのネットワークトラフィックを監視および管理して、メッセージの発信元と送信元を確認できるようにする必要があります。

「攻撃者には最初の発動機の利点があります」とブレンホーンは言いました。 「異常を探している必要があります。」

これらの異常により、アクセスを提供しているリソースまたは抽出を提供しているリソース（通常はサーバー）に移動します。 見つかったら、マルウェアを削除してサーバーを復元できます。 ただし、Blenkhornは、マルウェアが実際に消失したことを確認するためにサーバーのイメージを再作成する必要がある場合があると警告しています。

違反復旧手順

Blenkhorn氏は、侵害の復旧を計画する際に、次の3つのことを覚えておく必要があると述べました。

1. 違反は避けられない、
2. 技術だけでは問題を解決できません。
3. あなたはそれがあなたが前に見たことがない脅威であると仮定しなければなりません。

しかし、脅威を排除した後は、回復の半分しか実行していません。 残りの半分はビジネス自体を保護しています。 サイバー保険プロバイダーCyber​​Policyの製品担当シニアディレクターAri Vared氏によると、これは回復パートナーを事前に準備することを意味します。

「サイバーリカバリプランを導入することでビジネスを救うことができるのです」とVaredはPCMagに電子メールで語りました。 「つまり、法律チーム、データフォレンジックチーム、PRチーム、および主要なスタッフメンバーが、違反が発生した場合に何をする必要があるかを事前に把握しておくことです。」

そこでの最初のステップは、回復パートナーを事前に特定し、計画を通知し、違反が発生した場合にサービスを維持するために必要なアクションを実行することです。 これは多くの管理者の負担のように思えますが、Varedは、このプロセスを努力する価値がある4つの重要な理由を挙げました。

1. 秘密保持契約と機密保持契約が必要な場合は、手数料やその他の条件とともに事前に合意できるため、サイバー攻撃が新しいベンダーと交渉しようとしても時間を無駄にすることはありません。
2. サイバー保険に加入している場合、代理店には特定のパートナーが既に特定されている可能性があります。 その場合、これらのリソースを使用して、ポリシーに従ってコストがカバーされるようにします。
3. サイバー保険プロバイダーは、特定の側面をカバーする金額のガイドラインを持っている場合があり、中小企業（SMB）の所有者は、ベンダーの手数料がこれらのガイドラインの範囲内に収まるようにする必要があります。
4. 一部のサイバー保険会社は、必要な復旧パートナーを社内に持ち、関係がすでに整っており、サービスがポリシーで自動的にカバーされるため、ビジネスオーナーのターンキーソリューションになります。

法律および法医学の問題への対処

Vared氏によると、攻撃後は法務チームと法医学チームが最優先事項です。 フォレンジックチームは、Blenkhornによって概説されているように、回復の最初のステップを実行します。 名前が示すように、このチームは何が起こったのか、さらに重要なことはどのように起こったかを知るためにそこにいます。 これは非難することではありません。 侵害を許可した脆弱性を特定して、それをプラグインできるようにすることです。 これは、法医学チームが到着する前に従業員と行う重要な区別であり、不当な悪口や心配を避けるためです。

Varedは、違反に対応する法務チームは、おそらくあなたのビジネスの従来の法的タスクを処理する人とは異なると指摘しました。 むしろ、サイバー攻撃の余波に対処した経験を持つ専門グループになります。 このチームは、違反に起因する訴訟、規制当局への対処、またはサイバー泥棒と身代金との交渉の処理からあなたを守るかもしれません。

その間、PRチームは法務チームと協力して通知要件を処理し、顧客に連絡して違反と対応を説明し、場合によってはメディアに同じ詳細を説明します。

最後に、違反から回復するために必要な手順を実行したら、Cレベ​​ルの幹部と一緒にそれらのチームを収集し、アフターアクションのミーティングとレポートを作成する必要があります。 アフターアクションレポートは、何がうまくいったか、何が間違っているか、次回の対応を改善するために何ができるかを判断することにより、組織が次の違反に備えるために重要です。

計画をテストする

• データ侵害後の6つの禁止事項データ侵害後の6つの禁止事項
• データ侵害により、2018年上半期に45億件のレコードが侵害されましたデータ漏洩により、2018年上半期に45億件のレコードが侵害されました
• キャセイパシフィック航空は940万人の乗客に影響を与えるデータ侵害を開示キャセイパシフィック航空は940万人の乗客に影響を与えるデータ侵害を開示

これはすべて、あなたの計画がよく考えられていて、悪いことの場合に有能に実行されたことを前提としています。 残念ながら、それは決して安全な仮定ではありません。 計画が成功する可能性があることを合理的に確信する唯一の方法は、準備ができたらそれを実践することです。 ビジネスでの定期的なイベントとしてサイバー攻撃に対処するあなたが従事した専門家は、あなたの計画を実践することにそれほど抵抗しません。彼らはそれに慣れており、おそらくそれを期待しています。 しかし、彼らは部外者であるため、彼らが練習のためにスケジュールされていることを確認する必要があり、おそらくあなたは彼らの時間のためにそれらを支払う必要があります。 これは、一度だけではなく定期的に、それを予算に織り込むことが重要であることを意味します。

その基準がどれだけ定期的であるかは、社内の従業員が最初のテストにどのように対応するかにかかっています。 最初のテストは、ほぼ確実に一部またはすべての面で失敗します。 多くの人にとって、この対応は単純なファイアドリルよりもはるかに複雑で負担が大きいため、これは予想されることです。 何をする必要があるかは、その障害の重大度を測定し、それをベースラインとして使用して、対応を実践するのに必要な頻度と程度を決定することです。 ほとんどの企業が経験することのない災害に対しては、ファイアドリルがあります。 あなたのサイバー攻撃訓練は、ある段階で実際に避けられない災害のためのものです。