Mandatas
Mandatas yra dokumentas, paverčiantis atsakomybę įgaliojimais. Jis trumpas sąmoningai (du ar trys puslapiai), nes rašomas taip, kad jį perskaitytų vadovybė ir kad juo būtų galima remtis ginčuose. Visa, kas dažnai keičiasi, gyvena kitur: paslaugų kataloge, procedūrose ir scenarijuose (playbooks).
Kodėl jis reikalingas
SOC be mandato gali realiu laiku matyti, kaip užšifruojamas kompiuteris, ir vis tiek turi ieškoti žmogaus, turinčio teisę leisti atjungti jį nuo tinklo. Kol pavyksta prisiskambinti, suvaldymo langas jau būna užsivėręs. Mandatas ir yra tai, kas išima tą skambutį iš kritinio kelio.
Jis daro ir kai ką mažiau akivaizdaus, bet ne mažiau vertingo: apriboja SOC. Užrašytas neįtraukiamos apimties stulpelis, kuriame prie kiekvienos išimties įvardytas savininkas, yra apsauga nuo lėto darbų kaupimosi, kuris aptikimo komandą paverčia antrosios linijos IT funkcija.
Atkreipkite dėmesį į sąmoningą autorystės padalijimą. Saugumo funkcija parengia sau reikalingus įgaliojimus; suteikti juos gali tik verslas. Mandatas, patvirtintas IT arba pačios saugumo funkcijos, neįpareigoja nieko.
| Antraštės laukas | Paskirtis | Reikšmė |
|---|---|---|
| Pavadinimas | Įvardija patį dokumentą | Saugumo operacijų centro (SOC) mandatas |
| Dokumento numeris | Pastovi nuoroda cituoti ir auditui | pvz., SOC-MANDATAS-001 |
| Versija | Fiksuoja pakeitimus per peržiūras | 1.0 (pirminė dokumento redakcija) |
| Patvirtinimo data | Data, nuo kurios mandatas įsigalioja | [patvirtinimo data] |
| Galioja iki | Susieja galiojimą su peržiūra, o ne su kalendorine data | Iki peržiūros datos |
| Parengė | Dokumento autorius | Vyriausiasis informacijos saugumo pareigūnas (CISO) |
| Patvirtino | Organas, galintis įpareigoti kitus padalinius vykdyti SOC įgaliojimus | Vykdomoji vadovybė |
| Parašų blokas | Formalus pasirašymas | [Vardas, pavardė, pareigos], [data] |
2 skyrius
Kiekvienas žemiau esantis įgaliojimas turi patikslinančią frazę, kurią norisi išbraukti dėl trumpumo. Būtent dėl tų frazių įgaliojimai veikia. Palikite jas.
Nuolat stebėti visą IT infrastruktūrą (tinklus, serverius, galinius įrenginius ir debesijos aplinkas), kad galimos grėsmės ir saugumo pažeidimai būtų nustatyti laiku.
Kodėl formuluotė svarbi
Įgaliojimas yra nuolatinis ir apima visą infrastruktūrą. Būtent keturių aplinkos tipų išvardijimas užkerta kelią vėlesniam ginčui, kad debesija ar galiniai įrenginiai į apimtį niekada nebuvo įtraukti.
Patvirtinus kibernetinį incidentą, imtis techninių veiksmų, būtinų grėsmei suvaldyti ir jos poveikiui apriboti.
Kodėl formuluotė svarbi
Ši nuostata veikia dėl dviejų dalykų: patvirtinto incidento sąlygos, neleidžiančios įgaliojimui tapti neribotam, ir veiksmų sąrašo su formuluote „įskaitant, bet neapsiribojant“, kuri neleidžia sąrašo skaityti kaip baigtinio.
Gauti prieigą prie visų sistemų žurnalo įrašų, konfigūracijų ir kitos techninės informacijos, reikalingos incidentui tirti ir analizuoti.
Kodėl formuluotė svarbi
Šis įgaliojimas realus tik dėl antrosios savo dalies: visi IT ir kiti padaliniai privalo bendradarbiauti ir pateikti tai, ko SOC reikalauja. Neįrašius šios pareigos, įgaliojimas lieka prašymu.
Teikti IT infrastruktūros ir sistemų savininkams rekomendacijas dėl saugumo spragų šalinimo, konfigūracijų keitimo ir papildomų saugumo priemonių diegimo.
Kodėl formuluotė svarbi
Svarbiausias žodis čia: „privalomos“. Rekomendacija, kurią gavėjas gali ignoruoti niekur to neužfiksavęs, nėra įgaliojimas. Tai susirašinėjimas. Įvardykite adresatą: sistemų savininkus, o ne „IT“.
Išvardyti suvaldymo veiksmai
Palikite formuluotę „įskaitant, bet neapsiribojant“. Baigtinis sąrašas yra kvietimas ginčytis, kad konkretaus veiksmo, kurio ėmėtės 02:00, jame nebuvo.
Ką siūlote mainais
Prašydami iš anksto suteikto leidimo suvaldymo veiksmams, kartu atsineškite ir jo sąlygas: aplinkybes, kurioms esant jis leidžiamas, pareigą nedelsiant informuoti, įvardytą tvirtintoją, informuojamą po fakto, ir dokumentuotą veiksmų atšaukimo tvarką. Būtent šis paketas prašymą iš galios pasisavinimo paverčia kontrole, kurią valdymo organas gali patvirtinti.
4 skyrius
Dešinysis stulpelis yra tas, kurį praleidžia dažniausiai, ir jis yra svarbesnis iš dviejų. Prie kiekvienos išimties privalo būti įvardytas atsakingas padalinys, kitaip išimtis skaitoma kaip „niekas“, ir ji sugrįš pas jus.
6 skyrius
SOC yra pavaldus CISO ir jam atsiskaito už savo veiklą bei rezultatus. Visa kita yra bendradarbiavimas, ir kiekvienam bendradarbiavimui reikia įvardyti jo dalyką, kitaip esant spaudimui jis neįvyks.
| Šalis | Bendradarbiavimo dalykas |
|---|---|
| IT infrastruktūra ir operacijos | Incidentų valdymas, konfigūracijų keitimai, techninė informacija |
| Teisė ir atitiktis | Teisiniai incidentų aspektai, duomenų apsauga, bendradarbiavimas su teisėsauga |
| Personalo tarnyba | Vidiniai incidentai, susiję su darbuotojų elgesiu |
| Nacionalinis kibernetinio saugumo centras (NKSC) | Teisės aktų nustatytas pranešimas apie kibernetinį incidentą, nacionalinis koordinavimas ir prašymai suteikti techninę pagalbą. CERT-LT yra veiklos vardas, kuriuo ta pati institucija veikia kaip nacionalinė reagavimo komanda: vienas adresatas, du pavadinimai. |
| Kitos organizacijos ir sektoriaus grupės | Keitimasis informacija apie grėsmes ir koordinuotas reagavimas į plataus masto incidentus |
7 skyrius
Niekada neperžiūrimas mandatas pamažu nustoja atitikti organizaciją, kurią reglamentuoja. Įrašykite peržiūros aplinkybes į patį dokumentą, kad peržiūra taptų pareiga, o ne ketinimu.
Suderinkite prieš teikdami
Prieš teikdami tvirtinti, projektą išsiųskite padaliniams, kuriems pagal 03 ir 04 įgaliojimus atsiranda pareigos (IT infrastruktūrai ir operacijoms bei sistemų savininkams). Būtent jų elgesį mandatas įpareigoja. Netikėtumas tvirtinimo posėdyje yra būdas mandatą atskiesti iki bevertiškumo.