Legyen készen, mielőtt bekövetkezik az incidens

Mert az észlelés és reagálás ott ér véget, ahol a kriminalisztika kezdődik. A monitorozás arra vállal kötelezettséget, hogy megtalálja, triázsolja, és — ahol van rá felhatalmazás és eszköz — feltartóztatja. Amit nem fed le, az az ezt követő munka: egy gép képének elkészítése és rendes átvizsgálása, annak megállapítása, hogyan jutottak be, milyen adat távozott ténylegesen, és egy olyan vizsgálat végigvitele, amelyet egy hatóság, egy biztosító vagy egy bíróság is elfogad. A készenlét ezen felül a legnagyobb késedelmet is kiiktatja egy incidensből, ami nem technikai: hogy olyan céggel kelljen feltételekről egyeztetni, amellyel még soha nem szerződtek, miközben titkosítás alatt áll a rendszerparkjuk.

A reagálási vállalás a szerződésükben szerepel, nem egyetlen, mindenkinek mondott számként — mert attól függ, mit vásárolnak és hol vannak. Bármely számot az előkészítés tesz tarthatóvá, nem az ígéret: előre nevesítjük, ki jelenthet be incidenst, megállapodunk a csatornákról, a távoli hozzáférés még bármi előtt kiépül, a feltételek pedig már alá vannak írva. Az a cég, amelyik ezek nélkül érkezik, az első napját papírmunkával és jogosultságigényléssel tölti — bármit is írt az ajánlatába. Ha egy szolgáltató fix órát ígér, kérdezzék meg, mi történik, ha nem tartja.

Nem, és a készenlét úgy van felépítve, hogy ne így legyen. Az év fel nem használt óráinak akár a fele átvihető a következő évre. Az órák nem is csak incidensre használhatók: fordíthatók proaktív munkára is, például purple teamingre vagy adathalász-tesztelésre. A megbízás pedig negyedéves ritmusban fut akkor is, ha semmi nem történik: áttekintő megbeszélés, amely végigveszi az időszakot, és kiválasztja azokat a kicsinek látszó eseményeket, amelyeket érdemes rendesen kivizsgálni — emellett negyedéves fenyegetettségi jelentés. A csendes év az, amikor a rutin felépül, és épp ez az, aminek egy hangos év előtt már a helyén kell lennie.

Attól függően, hogy Önök hol vannak: a Spirity saját szakemberei vagy a partnerünké — a csapatot az ügyfélhez állítjuk össze, nem egyetlen országból küldjük. A bevezetéskor nevesített incidensvezetőt kapnak, aki a közvetlen kapcsolattartójuk, egy bevezető egyeztetés pedig tisztázza, kik érintettek mindkét oldalon, és hogyan érik el egymást hajnali kettőkor. A munka szándékosan távoli alapú: a hozzáférés előre kiépül, éppen azért, hogy a reagálás a vizsgálattal kezdődjön, ne jogosultságkéréssel.

Van erre szakemberünk, és csak akkor kerül rá sor, ha Önök kérik, az adott konkrét ügyben — soha nem alapértelmezésként. Ahol mégis, ott a cél elsősorban vizsgálati: mi van ténylegesen a támadó birtokában, mit vittek el valójában, és milyen bizonyíték nyerhető ki a kommunikációból. Hogy fizetni kell-e, nem a mi döntésünk, és nem is állítjuk be annak. Ez az Önök vezetőségéé, a jogi tanácsadójukkal és a biztosítójukkal együtt. Amit a készenlét ad, az az a technikai kép, amelyre ennek a döntésnek támaszkodnia kell — olyan ponton, ahol egyébként találgatnának.

Négy dologra, és ezek a megbízás első fázisát alkotják, nem papírmunkát. Kik jogosultak incidenst bejelenteni, és milyen csatornán érhetők el. A rendszereik és biztonsági beállításaik bemutatása, dokumentumba foglalva, hogy a csapat ebből dolgozzon az adott napon, ne az incidens közben ismerje meg — és ha ez a bejárás olyat hoz felszínre, amin érdemes változtatni, azt jelezzük. Előre kiépített távoli hozzáférés. És egy adatfeltárási gyakorlat, amelyben az IT-jukkal együtt azonosítjuk azokat a bizonyítékokat, amelyeket egy valódi incidensnél kérni fognak, és ellenőrizzük, hogy használható formában állnak elő. Ez utóbbit hagyják ki a legtöbben, és ezt bánják meg a leggyakrabban.

Mindhárom esetben igen — és a vizsgálatot abból a feltételezésből vezetjük, hogy valaki más szakértője is el fogja olvasni. A csapatnak van tapasztalata abban, hogy egy vizsgálatot az első egyeztetéstől a peres eljárásig vigyen végig, a szakértői tanúskodást is beleértve, a mögöttünk álló partnert pedig több mint húsz kiberbiztosító bízza meg azzal, hogy a biztosítottjaiknál végezze ezt a munkát. A jogi tanácsadójuk és a biztosítójuk mellett dolgozunk, nem mellettük elmenve — a jogi képviselet bevonását pedig a felkészülési munka rendezi el, még az incidens előtt, nem közben.

Elkülönítve kezeljük őket. A képek az adott ügyfélhez tartozó külön bérleménybe kerülnek fel, és ott is elemezzük őket — nem összevonva, és nem más bizonyítékai mellett. Maga az elemzés egy előre felkészített kriminalisztikai környezetben zajlik, amely működhet a mi privát felhőnkben, de telepíthető az Önök saját környezetébe is, ha jobban szeretnék, hogy a bizonyíték el se hagyja azt. Ezt a második lehetőséget érdemes korán felvetni: egyes szervezeteknél ez teszi rövid beszélgetéssé azt, ami különben nehéz egyeztetés lenne a saját jogi és adatvédelmi kollégáikkal.

Hozzájárul, de nem teljesíti helyettük. Mindkét szabályozás dokumentált és tesztelt incidenskezelést vár el, és egy olyan készenlét, amelyben nevesített kapcsolattartók, előre rögzített feltételek, előre kiépített hozzáférés, validált bizonyítékok és negyedéves áttekintés van, jó bizonyíték arra, hogy felkészültek. Amit nem ad: magát a megfelelést — és nem tesz bejelentést Önök helyett. A bejelentési kötelezettségek és határidőik Önöknél maradnak, az pedig, hogy egyáltalán vonatkoznak-e Önökre, az ágazatuktól és a besorolásuktól függ. Aki azt mondja, hogy egy készenléttel NIS2-megfelelők lesznek, az értékesít, nem tanácsot ad.

Az évre beépített szakértői órakeret. A nagyobb keret többe kerül, de olcsóbbá teszi minden további órát — a csomag megválasztása tehát arról szól, mennyi vizsgálatot szeretnének, nem csupán arról, hány incidensre számítanak. Az időtáv tizenkét hónap, a kriminalisztikai környezet pedig a díj része, nem pedig használatonként számlázott tétel.