Подготовка к инцидентам кибербезопасности и реагирование на них

[Carder]

Центр кибербезопасности (ACSC) отвечает за мониторинг и реагирование на киберугрозы, нацеленные на интересы мирового сообщества. ACSC может помочь организациям реагировать на инциденты кибербезопасности. Сообщение об инцидентах кибербезопасности гарантирует, что ACSC может предоставить своевременную помощь.

Введение​

Центр кибербезопасности (ACSC) отвечает за мониторинг и реагирование на киберугрозы, нацеленные на интересы всего мирового сообщества. Киберугрозы могут привести к отказу в доступе, краже или уничтожению информации и систем. В дополнение к ущербу, нанесенному экономическому благополучию в результате таких инцидентов кибербезопасности, они могут подорвать доверие общества к организациям и потребовать значительных ресурсов для реагирования.
ACSC может помочь организациям реагировать на инциденты кибербезопасности. Сообщение об инцидентах кибербезопасности гарантирует, что ACSC может предоставить своевременную помощь. Это может быть в форме расследований, анализа и / или рекомендаций по исправлению положения.

Насколько вы готовы ответить?​

Организации должны задать себе следующие вопросы, чтобы определить, насколько они готовы реагировать на инциденты кибербезопасности:

• Определили ли мы системы и информацию, важные для наших бизнес-операций?
• Есть ли у нас планы обеспечения непрерывности бизнеса и аварийного восстановления?
• Есть ли у нас обновленный и регулярно проверяемый план реагирования на инциденты?
• Включают ли наши соглашения с поставщиками услуг отчеты об инцидентах кибербезопасности и действия по реагированию?
• Есть ли у нас возможность определять, когда могли произойти инциденты кибербезопасности?
• Насколько легко и быстро мы можем получить доступ к соответствующим ресурсам для реагирования на инциденты кибербезопасности?
• Каковы наши законодательные обязательства в отношении сообщения об инцидентах кибербезопасности?
• Кто несет основную ответственность за отчетность об инцидентах в области кибербезопасности, и есть ли у нас стандартные рабочие процедуры?

Когда я должен сообщить об инциденте кибербезопасности?​

Инцидент кибербезопасности - это одно или серия нежелательных или неожиданных событий, которые имеют значительную вероятность поставить под угрозу бизнес-операции организации. Инциденты кибербезопасности могут повлиять на конфиденциальность, целостность или доступность системы и информации, которую она хранит, обрабатывает или передает.
Типы инцидентов кибербезопасности, о которых следует сообщать в ACSC, включают:

• подозрительная системная и сетевая активность
• компрометация конфиденциальной информации
• несанкционированный доступ или попытки доступа к системе
• электронные письма с подозрительными вложениями или ссылками
• атаки типа "отказ в обслуживании"
• подозрение на взлом электронных устройств.

Ниже приведены примеры подозрительной системной и сетевой активности:

• учетные записи администратора домена заблокированы из-за неудачных попыток аутентификации
• необычные события аутентификации в системах удаленного доступа, такие как одновременный вход пользователей в систему с локальных рабочих станций и через VPN, или несколько попыток входа в систему из географически разнесенных или заграничных местоположений в течение короткого периода времени
• учетные записи служб, взаимодействующие с интернет-инфраструктурой.

Как я могу сообщить об инциденте кибербезопасности?​

Организациям рекомендуется сообщать об инцидентах кибербезопасности в ACSC. Как только инцидент кибербезопасности сообщается в ACSC, он записывается и сортируется. На этом этапе определяется приоритет и объем помощи, необходимой для реагирования на инцидент кибербезопасности.