מיון אירוע סייבר ושימור ראיות מוקדמות

מה מדריך זה עוזר להשיג

• קבלת אות שימושי
• שמירה על ההקשר
• הערכת השפעה
• ארגון החלטות

בדיקה מהירה

• מי ראה מה, היכן ומתי?
• אילו מקורות או עקבות עשויים להיעלם?
• אילו שירותים, חשבונות ונתונים עלולים להיות מושפעים?
• מי מאשר צעדים מיידיים?
• מתי תיבחן מחדש ההערכה?

שיטה שלב אחר שלב

1. 1

   פתיחת רשומת מקרה אחת

   רישום האות הראשוני, הזמן, הצופה, המערכות המושפעות וערוץ הדיווח. הקצאת בעל מקרה וסגן.

   תוצר: רישום אירוע עם חותמת זמן.

2. 2

   הפרדת עובדה מהשערה

   רשימת תצפיות, מקורות וביטחון ניתנים לאימות. ציין תרחישים אפשריים מבלי להניח מקור או היקף.

   תוצר: ציר זמן עובדתי והשערות ניתנות לבדיקה.

3. 3

   שמירה על חומר נדיף

   זיהוי יומנים, התראות, הודעות ומצבי מערכת שימושיים; שמור עותקים במסגרת נהלים פנימיים וגישה לרשומות. הימנע משינויים שהורסים עקבות.

   תוצר: מלאי ראיות ראשוני ורישום טיפול.

4. 4

   הערכת היקף והשפעה.

   מיפוי נכסים, חשבונות, נתונים ומסעות עסקיים שעשויים להיות מושפעים. רישום מה שאושר, נשלל או לא ידוע ואת עלות ההמתנה.

   תוצר: מפת היקף ורמת השפעה זמנית.

5. 5

   החלטה והסלמה.

   בחירת צעדי הגנה פרופורציונליים, מומחים ובעלי עניין ליידע במסגרת הדרישות הרלוונטיות. רישום מקבל ההחלטות והרציונל.

   תוצר: יומן החלטות ותוכנית תקשורת.

6. 6

   הערכה מחדש ולמידה.

   קביעת עדכון המצב הבא, הוספת ראיות חדשות וחיבור סיבות ופערים לעבודה מתקנת לאחר הסגירה.

   תוצר: עדכונים מעודכנים ולקחים שנלמדו.

מדדי ניהול

טעויות נפוצות

• מחיקת עקבות באמצעות פעולה מוקדמת
• הכרזה על סיבה לפני אימות
• שמירה על לוחות זמנים סותרים
• אי תאריך החלטה או בחינה מחדש של הנחה