V tomto příspěvku se dozvíte, proč spousta bezpečnostních incidentů zůstává neodhalena a jak tento nežádoucí stav změnit.

Důvodů, proč spousta bezpečnostních incidentů zůstává neodhalena, je několik. Jedním z nich je zavedení incident managementu. Ano, čtete správně. Vzhledem k tomu, že hlavním cílem incident managementu je obnovit službu tak rychle, jak jen to je možné, je zřejmé, že k zajištění důkazů obvykle nedochází.

V tomto příspěvku se pokusím nastínit možnosti, jak stanovit závažnost bezpečnostního incidentu.

Stanovit správně závažnost bezpečnostního incidentu bývá velice často problém. Navíc se závažnost může v průběhu životního cyklu incidentu měnit. Např. na počátku vyšetřování bezpečnostního incidentu se může zdát, že se jedná o bezpečnostní incident se zanedbatelným dopadem na společnost, a teprve až v průběhu šetření se může ukázat, že původní předpoklad byl mylný.

V tomto příspěvku se dozvíte, kdo by měl vést vyšetřování závažných bezpečnostních incidentů a jakými pravomocemi a oprávněními v informačním systému by měl vyšetřovatel disponovat.

Způsob vedení vyšetřování závažného bezpečnostního incidentu, který má na svědomí vlastní zaměstnanec společnosti, vykazuje určité odlišnosti od způsobu vedení vyšetřování incidentu, který byl veden útočníkem mimo organizaci a jehož totožnost neznáme a ani netušíme.

Bezpečnostní incident je událost v IS, která způsobila narušení důvěrnosti, integrity, dostupnosti nebo neodmítnutelnosti informace v důsledku selhání bezpečnostních opatření nebo porušení bezpečnostní politiky.

Za bezpečnostní incident se často považuje i podezření na porušení bezpečnostní politiky nebo pokus o překonání bezpečnostních opatření. Bezpečnostní incident má obvykle tento průběh: detekce incidentu – analýza incidentu – reakce na incident.