מנהל האירוע לא זמין. מי מוסמך לקבל את ההחלטה הבאה?

בתוכנית התגובה לאירוע סייבר עשוי להופיע שמו של האדם שמוסמך לאשר פעולה שתשפיע על הפעילות העסקית. כדאי לבדוק גם מה קורה כשאי אפשר להשיג אותו.

למנהל אבטחת המידע ולהנהלה זו נקודת פתיחה טובה לתרגיל שולחני. בוחרים החלטה עסקית אחת, מוציאים מהתרחיש את מקבל ההחלטה הראשי ובודקים איך הצוות מתקדם עם הסמכויות הקיימות שלו.

מתחילים בהחלטה שהעסק מכיר

ניקח תרחיש דמיוני: צוות האבטחה מזהה פעילות חשודה בפורטל לקוחות. הבדיקה עדיין מתנהלת. הגבלת גישה זמנית עשויה לצמצם חשיפה, אבל גם תמנע מלקוחות להשתמש בשירות. המנהל שמופיע בתוכנית נמצא בטיסה ולא ניתן להשיג אותו.

זהו תרגיל המבוסס על דיון בלבד. לא מנתקים מערכת ייצור. המשתתפים מסבירים על מה היו ממליצים, מה ידוע להם ומי רשאי לאשר את הצעד הבא.

לא צריך להגדיר מראש שניתוק מלא הוא התשובה הנכונה. המטרה היא לבחון איך מתקבלת החלטה כשהמידע חלקי, ולא אם המשתתפים הצליחו לנחש את התשובה שהמנחה ציפה לה.

מבקשים מממלא המקום להסתמך על התוכנית הקיימת

כדאי להזמין את מוביל האבטחה, את בעל השירות העסקי שנפגע ואת האחראים לתפעול ולתקשורת. אם התרחיש מעלה שאלות משפטיות, משתפים גם את היועץ המשפטי. הרכב המשתתפים צריך להתאים למבנה התגובה של הארגון.

כעת מבקשים מממלא המקום המיועד להראות על איזו סמכות הוא מסתמך. האם הוא רשאי לאשר הגבלה זמנית? האם הסמכות מוגבלת בזמן, בהשפעה כספית או בסוג השירות? האם נדרש אישור נוסף? ומה קורה אם גם הוא אינו זמין?

אם התשובה נשענת על הבנה שלא תועדה, רושמים את הפער. לא מעניקים למשתתף סמכות חדשה במהלך התרגיל רק כדי להתקדם. לאחר התרגיל הארגון יכול להסדיר את האצלת הסמכות בתהליך האישור הרגיל שלו.

מפרידים בין עובדות להנחות

לפני ההחלטה המדומה, מבקשים מהצוות להסביר מה אומת ומה עדיין לא ידוע. זיהוי פעילות חשודה כשלעצמו אינו קובע לאיזה מידע הייתה גישה או אם הפעילות עדיין נמשכת.

בהמשך משווים בין האפשרויות. מה עלול לקרות אם ממתינים? איזו פעילות תיעצר בעקבות הגבלה זמנית? האם קיימת פעולה מצומצמת יותר? אילו ראיות צריך לשמר ומי יכול להנחות בנושא? הצוות הטכני מסביר את המגבלות, ובעל התהליך העסקי מסביר את המשמעות התפעולית.

אפשר לתעד את הדיון ברישום החלטה קצר:

• העובדות שאומתו והמועד שבו נבדקו.
• שאלות פתוחות שעשויות לשנות את ההחלטה.
• החלופות שנשקלו וההשפעה העסקית הצפויה שלהן.
• מקבל ההחלטה והבסיס לסמכותו.
• הפעולה שנבחרה, האחראי לביצוע והמועד לבחינה מחדש.

זהו מבנה עבודה מוצע, ולא טופס דיווח רגולטורי. הוא נועד לאפשר גם למי שלא היה בדיון להבין כיצד התקבלה ההחלטה.

משנים פרט אחד ובוחנים שוב

אחרי שהצוות קיבל החלטה ראשונית, מוסיפים מידע חדש. למשל, הצוות הטכני מעריך כעת שאפשר לבצע הגבלה מצומצמת יותר, אבל עדיין לא אימת זאת. מי יבדוק את האפשרות, ומתי חוזרים להחלטה?

כדאי לבדוק גם איך יתנהל התיאום אם ערוץ התקשורת הרגיל לא יהיה זמין. משתמשים במסגרת בטוחה לתרגיל, בלי להעביר מידע רגיש לערוץ שלא אושר.

ההנחיות של ASD באוסטרליה מתארות תרגיל שולחני כדיון בתרחיש היפותטי, המתמקד בתקשורת, בקבלת החלטות ובבהירות התפקידים, ללא השפעה על מערכות אמיתיות. גם הנחיות התגובה לאירועים של NIST מציגות תרגילים כאמצעי להכנת המשתתפים ולזיהוי שיפורים. [1][2]

מסיימים בשינוי שאפשר לבדוק

התוצאה יכולה להיות פער בהאצלת סמכות, דרך התקשרות לא מעודכנת או שאלה עסקית שלא הייתה לה תשובה. לכל פער רלוונטי קובעים אחראי ומועד לבחינה. לאחר שהארגון מאשר שינוי, חוזרים לאותה החלטה בתרגיל המשך קצר.

חשוב לתעד מה הדיון הראה ומה עדיין מחייב בדיקה מסוג אחר. תרגיל שולחני אינו מאמת שבקרת בידוד פועלת, שאפשר לשחזר גיבוי או שכל החובות המשפטיות מולאו.

לקראת התרגיל הבא, כדאי לשאול: אם האדם שמופיע בתוכנית אינו זמין, האם הצוות יכול להראות מי מוסמך להחליט ואיך תיבחן ההחלטה מחדש?

Cybecs מסייעת בהערכת מוכנות לאירועים, בגיבוש תוכניות תגובה ובהנחיית תרגילים שולחניים. אפשר להתחיל מהחלטה אחת שההנהלה שלכם צריכה לתרגל. [3]