Incident response playbooks

Предварително дефинирани действия при конкретен тип инцидент.

Намалява improvisation: кой решава, какво се изолира, какви evidence се пазят, кого уведомяваме.

Ransomware alert идва през нощта. Тогава не е добър момент екипът да открива:

• кой има право да isolate-не 400 endpoints;
• кой се обажда на legal;
• къде са backup credentials;
• как се пазят forensic evidence;
• кой може да изключи internet edge.

Tabletop exercise с часовник. Давайте информация постепенно, както става в реален incident, и записвайте къде екипът чака permission, contact или технически достъп.

Playbook-ът след упражнението е по-кратък, по-ясен и с реални имена/roles, а не 48 страници prose, които никой няма да чете по време на breach.

• Tabletop exercises.
• Contact tree.
• Legal/privacy/comms integration.
• Evidence preservation.
• Isolation authority.
• Recovery validation.

Playbook, който никога не е тестван, може да се окаже fiction.