Przejdź do głównej zawartości

5.26 Reagowanie na incydenty bezpieczeństwa informacji

W skrócie: gdy incydent zostanie potwierdzony, wyznaczony zespół działa według ustalonych procedur: ogranicza skutki, zabezpiecza dowody, komunikuje się i usuwa przyczynę.

Cel: skuteczne i efektywne reagowanie na incydenty bezpieczeństwa informacji.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Corrective (korygujące)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Respond (reagowanie), #Recover (odtwarzanie)
Zdolności operacyjne#Information_security_event_management (zarządzanie zdarzeniami bezpieczeństwa informacji)
Domeny bezpieczeństwa#Defence (obrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Na incydenty reaguje wyznaczony zespół z odpowiednimi kompetencjami, według udokumentowanych procedur.
  • Reakcja obejmuje: powstrzymanie incydentu, gdy jego skutki mogą się rozprzestrzenić; gromadzenie dowodów jak najszybciej po zdarzeniu (5.28); eskalację, w tym uruchomienie zarządzania kryzysowego i planów ciągłości.
  • Wszystkie działania rejestruje się na potrzeby późniejszej analizy.
  • Istnienie incydentu i jego szczegóły komunikuje się wszystkim właściwym stronom wewnętrznym i zewnętrznym zgodnie z zasadą wiedzy koniecznej.
  • Organizacja współpracuje ze stronami wewnętrznymi i zewnętrznymi (np. organy, grupy specjalistyczne, dostawcy, klienci) w celu skutecznego reagowania.
  • Po skutecznym obsłużeniu incydent formalnie się zamyka i rejestruje. W razie potrzeby wykonuje się analizę kryminalistyczną oraz identyfikuje przyczynę źródłową.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Fazy reagowania: NIST SP 800-61 Rev. 2 opisywał cztery (przygotowanie; wykrycie i analiza; powstrzymanie, usunięcie i odtworzenie; działania po incydencie), model SANS — sześć (PICERL). Rev. 3 z 2025 r. zastąpił Rev. 2 i osadza reagowanie w funkcjach NIST CSF 2.0.
  • Izolacja hosta z poziomu EDR zamiast wyłączania go — zachowuje pamięć ulotną do analizy.
  • Wcześniej przygotowane zewnętrzne wsparcie (umowa ramowa z zespołem DFIR) — szukanie go w trakcie incydentu kosztuje godziny.

Powiązania​