عائلة العمليات

عملية الاستجابة للحوادث الأمنية: من بلاغ التصيد إلى إخطار الخرق

عائلة الاستجابة للحادث الأمني: بلاغ التصيد وتصنيف الشدة واستجابة SOC والتصعيد إلى CISO والاستجابة المؤسسية وإخطار خرق GDPR، مع HIPAA والثغرات وقبول المخاطر.

الاستجابة للحوادث الأمنية هي ما يقع بين التنبيه والحادث المقفل. يُفرز بريد مبلغ عنه أو تنبيه مؤكد إلى حكم، وتوضع له شدة، ويحتويه SOC ويستأصله، ويصعّد بقدر ما تطلبه الشدة، ويُختبر إذا انكشفت بيانات شخصية مقابل ساعة الاثنتين والسبعين. القوالب الستة المتسلسلة هي هذه التسليمات، مرسومة كمسارات لأن كل واحدة تنتقل لمالك مختلف.

أكثر نقاط الدخول شيوعاً بلاغ المستخدم. تفحص حلقة الاستجابة للتصيد الرؤوس والروابط والمرفقات، وتبحث في المستأجر عن كل نسخة أخرى وتحذفها وتحجب المرسل وURLs والتجزئات، ثم تسأل ما فعله المستخدم المتأثر: إدخال بيانات اعتماد يعني إعادة تعيين كلمة المرور وإلغاء الجلسة، وفتح مرفق يعني عزل الجهاز وفحصه، وعلامات اختراق الحساب تغادر الحلقة إلى الاستجابة للحادث. ثم يثبت تصنيف الشدة مستوى واحداً من P1 إلى P4 من التوفر والنطاق وأثر الأعمال وتعرض البيانات، ويقرر المستوى كل ما بعده.

يشغّل SOC الدورة التقنية: إعلان وتعيين قائد، وتفويض الاحتواء الذي يعطل الخدمة، والعزل وحفظ صور الأدلة الجنائية، والبحث عن مواضع إضافية وإزالة البرمجيات الخبيثة والاستمرارية وإعادة البناء من نسخ نظيفة وضبط قواعد الكشف في النهاية. وبالتوازي يقرر سلم التصعيد مدى سفر الحادث في المؤسسة: حد S1/S2 الذي يبقي تذاكر S3/S4 داخل قائمة SOC، ومدير الحادث وCISO لـS1 وفريق الأزمة وفحص البيانات الشخصية وقرار إخطار الجهة التنظيمية وإنفاذ القانون والعملاء والمؤمّن.

يحمل قالب الاستجابة المؤسسية الشكل الكامل من الكشف إلى الدروس للناس خارج SOC. وعندما تنكشف بيانات شخصية يتولى الاستجابة لخرق البيانات الفرع: الاحتواء وتقييم خطر الأفراد وإخطار السلطة الرقابية خلال 72 ساعة أو توثيق السبب، وإخطار الأفراد عند الخطر العالي وتحديث سجل الخرق؛ وتتبع PHI غير المؤمنة نسخة HIPAA. الإخفاقات المعتادة هي شدة يحددها من في الوردية واحتواء يدمر أدلة يحتاجها الإخطار وساعة 72 لا يبدأها أحد لأن سؤال البيانات الشخصية لم يُطرح.

يوجد عضوان بجانب التسلسل. إدارة الثغرات نصف العمل قبل الحادث، بمسوح مصادق عليها وCVSS ونطاقات SLA وإعادة مسح قبل الإقفال. وقبول المخاطر توقيع ما لا يصلح: خطر متبق ضمن القابلية وتاريخ مراجعة وصاحب توقيع بحسب شريحة التقييم. لا يوجد قالب مستقل لمراجعة ما بعد الحادث؛ فكل عضو ينتهي بها. وعندما لا يمكن الاستعادة داخل الخدمة، يكون تفعيل التعافي من الكوارث قراراً مستقلاً بمعاييره. والنسخة البسيطة في IT، الاستعادة والإقفال بدلاً من الاحتواء والإخطار، هي إدارة خدمات تقنية المعلومات؛ وشجرة الشدة نفسها تخدمهما.