Во время серьезного инцидента времени на спокойное распределение полномочий и поиск актуальных контактов уже нет, поэтому ключевые решения и независимые резервные каналы готовят заранее.
Назначьте роли
Определите руководителя реакции, технических исполнителей, владельца коммуникаций, юридическую поддержку и человека, фиксирующего хронологию. Замены обязательны.
Подготовьте действия
Опишите классификацию, изоляцию, сохранение доказательств, восстановление и критерии эскалации для вероятных сценариев. Инструкция должна быть доступна.
Проводите учения
Разберите реалистичный сценарий за столом, проверьте контакты, доступы, решения и обмен информацией. После учения исправьте пробелы.
План должен работать при недоступной корпоративной почте, скомпрометированном администраторе и отсутствующем руководителе, а все аварийные действия обязаны сохранять достаточно данных для последующего расследования, уведомления заинтересованных сторон и безопасного возврата системы.
Восстановление опирается на проверенные резервные копии. Опасные сценарии берите из модели угроз.
