Ako reagovať na bezpečnostný incident (bez vzájomného obviňovania)

Ak je prvou reakciou obviňovanie a hľadanie vinníka, firma sa nič nenaučí. Navyše tým poškodí svoju kultúru a odradí ľudí od otvorenosti.

Ako teda správne reagovať?

1. Berte incident ako príležitosť

Incident nie je (len) zlyhanie. Je to signál, že niečo v systéme nefunguje. Či už ide o ľudské správanie, proces alebo technický nedostatok, je to šanca niečo zlepšiť.

👉 Cieľom reakcie má byť zastaviť, pochopiť, sfunkčniť a nie potrestať.

2. Oddeľte riešenie technického problému od analýzy príčiny

V prvej fáze riešte obmedzenie škôd. Napríklad: izolovanie napadnutého systému, kontrola kompromitácie súvisiacich služieb, odpojenie zariadenia, zmena hesiel, obnova záloh. 

V druhej fáze prebehne analýza príčin a reakcií ako sa incident začal, ako ho zamestnanec/oddelenie riešilo a čo zafungovalo, prípadne čo chýbalo.

👉 Incidenty by mali končiť záznamom a ponaučením, nie výčitkami. Áno, v prípade opakovaných a preukázaných porušení bezpečnostných predpisov sú potrebné aj ďalšie postupy.

3. Vytvorte bezpečné prostredie pre priznanie chyby

Ak sa niekto bojí nahlásiť incident, riskujete, že sa problém prehliadne alebo zhorší. V tom prípade sa nepoučíte, čo môže viesť tomu, že iní zamestnanci zopakujú tú istú chybu.

Otvorená kultúra je základ. Zamestnanci musia vedieť, že nahlásenie chyby je správne a nie nebezpečné.

4. Hľadajte systémové príčiny, nie chyby jednotlivcov

Namiesto otázky „kto klikol?“ sa radšej spýtajte prečo správa / web vyzerali dôveryhodne. Je dôležité zistiť prečo sa kolega (ne)cítil istý pri rozhodovaní. A vôbec, vedel, komu to má nahlásiť?

Nezabudnite preveriť či bola ochrana (napr. SPF/DKIM, sandbox, antivírus) správne nastavená? Nebola kompromitovaná aj schránka odosielateľa?

👉 Väčšina „individuálnych“ chýb je dôsledkom nedostatočného systému, tréningu alebo podpory.

5. Podeľte sa o ponaučenie – anonymne, ale otvorene

Z incidentu sa môže poučiť celá firma,  ak o incidente zamestnanci vedia. Zhrňte anonymizovaný priebeh incidentu v podobe krátkej internej „Wikipedie“, mini prezentácie alebo infografiky, s odporúčaniami pre každodennú prax. Ak sa jedná o nový typ incidentu je vhodné ho prehľadne spracovať a zaradiť do školení.

👉 Tým ukazujete, že učenie je dôležitejšie ako trestanie. A budujete dôveru.

Zhrnutie

Odolná firma nehľadá vinníkov, ale odpovede.
Kybernetická bezpečnosť je proces učenia, nie hon na chyby.
Ak vytvoríte kultúru, kde sa incidenty riešia vecne, otvorene a konštruktívne, zvýši sa aj schopnosť firmy adekvátne reagovať, keď na tom naozaj záleží.

Ako zapojiť manažérov a vedenie do budovania bezpečnostnej kultúry >