Jak vytvořit účinný Incident Response Plan v souladu s NIS2?

Nový kybernetický zákon, který transponuje evropskou

Odborníci na kybernetickou bezpečnost pracují nepřetržitě, aby zabránili bezpečnostním incidentům, které by mohly ohrozit důvěrnost, dostupnost a integritu informačních aktiv organizace. I přes veškerá bezpečnostní opatření se bohužel bezpečnostní incidenty nevyhnutelně stávají.

Evropská kybernetická směrnice NIS2, která má být přenesená i do české legislativy do 17. října 2024, zavádí nové požadavky a závazky pro organizace a dotkne se mnoha tisíc českých podniků. Jedním z klíčových požadavků je vytvoření plánu reakce na incidenty (IRP).

Stanovte si rozsah řízení kybernetické bezpečnosti, radí firmám na seminářích NIS2 experti z O2

Stanovte si rozsah řízení kybernetické bezpečnosti, radí firmám na seminářích NIS2 experti z O2

Zobrazit článek

Co je to Incident Response Plan?

Připravený plán reakce na incidenty je zásadní pro ochranu informačních aktiv a zajištění kontinuity podnikání organizace. Jde o soubor pokynů, jak detekovat bezpečnostní události s na firemní data, reagovat na ně. Jeho cílem je minimalizovat dopady možného kyberútoku a obnovit normální provoz co nejdříve. IRP může být klíčovým faktorem, který ovlivní, jak dobře vaše organizace zvládne celý průběh útoku.

Poněkud drahý teambuilding. Jak firma přežila útok ransomwarem LockBit

Poněkud drahý teambuilding. Jak firma přežila útok ransomwarem LockBit

Zobrazit článek

Reakce na incidenty hraje také důležitou roli v širší strategii řízení rizik a poskytuje informace pro rozhodování o vylepšení výkonnosti zabezpečení a investicích do bezpečnostních mechanismů nezbytných k posílení celkového stavu zabezpečení.

Plán reakce na incidenty stanovuje doporučené postupy potřebné k:

• rozpoznání incidentu a reakci na něj
• rychlému a účinnému vyhodnocení incidentu
• informování příslušných osob a organizací
• eskalaci úsilí organizace o reakci na základě závažnosti incidentu
• podpoře obnovy podnikání po incidentu

Jak vytvořit účinný plán reakce na incidenty?

Organizace nemusí své plány reakce na incidenty vytvářet na zelené louce. Přední odborníci v této oblasti připravili několik rámců, které mohou firmám pomoci sestavit plán, který bude pasovat na míru vaší společnosti.

Za nejlepší zdroj pro plánování reakce na incidenty je všeobecně považována příručka amerického Národního institutu standardů a technologie (NIST), která se jmenuje Computer Security Incident Handling Guide.

Tato publikace poskytuje komplexní návod pro organizace, jak efektivně zvládat bezpečnostní incidenty v oblasti IT. Popisuje potřebu programu pro zvládání incidentů, doporučuje možné struktury Incident Response týmů a zdůrazňuje spolupráci s dalšími skupinami v rámci organizace. Mimo to prochází základní kroky řešení incidentů a radí, jak zlepšit detekci a analýzu incidentů. Zabývá se také potřebou koordinace a sdílení informací při řešení incidentů. Obsahuje i scénáře možných incidentů, užitečné zdroje a odpovědi na časté otázky.

Bez ohledu na zvolenou metodu by váš plán reakce na incidenty měl zahrnovat několik důležitých kroků:

Tvorba politiky pro řízení reakce na incidenty

Tento dokument slouží jako základ pro všechny činnosti spojené s řešením incidentů a poskytuje osobám reagujícím na incidenty pravomoci potřebné k přijímání zásadních rozhodnutí.

Tato politika by měla být vodítkem pro reakci na incidenty a měla by být následně schválená vedoucími pracovníky.

Sestavení týmu pro reakci na incidenty

Při sestavování týmu je důležité, aby byl určený vedoucí pracovník odpovědný za celý proces reakce na incidenty. Tato osoba následně vede tým odborníků, kteří vykonávají mnoho úloh nezbytných pro efektivní zvládání bezpečnostního incidentu.

Do týmu zahrňte lidi z různých týmů vaší firmy – včetně IT, managementu, právního oddělení, HR a komunikace nebo PR.

Je také osvědčenou praxí určit konkrétní osobu, která bude zodpovědná za komunikaci s vedením firmy. Může to být například manažer bezpečnosti nebo právě vedoucí Incident Response týmu.  Pravidelně přezkoumávejte svou politiku a postupy a zajistěte pravidelná školení týmu v oblasti reakce na incidenty.

Tvorba uživatelských příruček

Organizace by měla vytvořit sérii příruček, které se zabývají nejběžnějšími typy incidentů. I když je každý bezpečnostní incident odlišný, realita je taková, že většina kyberútoků vykazuje podobné vzorce průběhu a firmy tak mohou těžit ze standardizovaných postupů.

Detekce a analýza

Podnikněte kroky k zavedení bezpečnostních opatření. Tímto způsobem můžete rychle zjistit, zda je vaše organizace zranitelná nebo již byla napadená.

Například kontinuální monitorování a analýza sesbíraných dat vám může pomoci identifikovat zranitelnosti ve vaší síti. Pro detekci a analýzu potenciálního průlomu zabezpečení zaveďte monitorování koncových bodů, firewallu, indikátorů kompromitace a nástrojů pro správu bezpečnostních událostí (SIEM).

Vytvoření komunikačního plánu

Reakce na incident vyžaduje dobrou komunikaci mezi různými skupinami uvnitř organizace, stejně jako s externími zúčastněnými stranami. Komunikační plán reakce na incident by měl řešit způsob, jakým tyto skupiny spolupracují během aktivního řešení incidentu, a druhy informací, které by měly být sdíleny s interními a externími stranami.

Komunikační plán musí také pamatovat na komunikaci směrem k úřadům (například Národní úřad pro kybernetickou a informační bezpečnost nebo národní CERT). Měl by určovat, kdo v organizaci má oprávnění kontaktovat úřady, za jakých podmínek a kdy je to nutné. Například nově vznikající kybernetický zákon přesně definuje, jaké incidenty je povinné hlásit a jakým úřadům.

Kybernetické bezpečnostní incidenty podle NIS2. Na co se připravit?

Kybernetické bezpečnostní incidenty podle NIS2. Na co se připravit?

Zobrazit článek

Činnost po incidentu

Po jakémkoli kybernetickém incidentu proberte jeho průběh a diskutujte otevřeně o tom, co se stalo, jaká byla reakce a zda jste měli dostatek informací, nástrojů a pravomocí k bezodkladnému řešení situace. Nezapomeňte zhodnotit, co fungovalo a kde naopak vidíte potenciál pro zlepšení. Podobný brainstorming lze pojmout jako otevřené a nestranné fórum pro sdílení ponaučení s vedoucími pracovníky a zainteresovanými stranami.

Testování vašeho plánu

Nečekejte, až dojde k incidentu, a otestujte svůj plán. Provádějte pravidelná simulovaná cvičení s cílem ověřit, zda je váš IRP dostatečně robustní pro pokrytí většiny významných incidentů. Testováním také zjistíte, jestli lidé ve firmě vědí, co kdo má dělat, nebo zda vám fungují detekční nástroje a zda jste schopni včasně a správně reagovat.

Prováděné testy průběžně vyhodnocujte a všechny nedostatky přetavte do zlepšení vašeho IRP a dílčích postupů.

Vytvoření a implementace efektivního plánu reakce na incidenty je klíčovým krokem k ochraně informačních aktiv a zajištění kontinuity vašeho podnikání. Evropská směrnice NIS2 klade na organizace nové nároky, které není možné přehlížet. Přijetím osvědčených postupů a rámců, jako je příručka NIST, mohou firmy zvýšit svou připravenost na kybernetické hrozby. Pravidelné testování a aktualizace IRP zajišťují, že organizace budou schopny rychle a efektivně reagovat na incidenty, minimalizovat jejich dopady a posílit celkový stav zabezpečení. Investice do důkladně připraveného plánu reakce na incidenty se vyplatí a může znamenat rozdíl mezi rychlou obnovou a vážnými provozními výpadky.

Co si z článku odnést

• Incident Response Plan je klíčovým faktorem strategie kybernetické bezpečnosti, který ovlivní, jak dobře vaše organizace zvládne průběh kyberútoku.
• Firmy by tento plán reakcí měly pravidelně testovat a neustále vylepšovat. Jedině tak bude společnost připravená na potenciální útok.
• V IRP týmu by měli být zástupci z nejrůznějších oblastí vaší firmy. Také určete, kdo má zodpovědnost za jakou část řešení kybernetického incidentu.

Petra Javornická
Marketingový specialista pro B2B