Jak vypadá první hodina po kybernetickém incidentu?

Jak vypadá první hodina po kybernetickém incidentu?

„Máme problém. Něco se děje se servery.“
Touto větou začíná řada kybernetických incidentů.
A právě první hodina často rozhoduje o tom, jak velké budou jejich dopady.
Během prvních 60 minut není čas na hledání kontaktů nebo pročítání dokumentace. Každá minuta se počítá.

Co by mělo následovat?

🔹 Potvrdit, že skutečně jde o bezpečnostní incident.
       Ne každý výpadek je kybernetický útok, ale každý podezřelý stav je potřeba rychle ověřit.
🔹 Omezit šíření incidentu.
       Izolovat napadené systémy, zablokovat kompromitované účty nebo odpojit postiženou část sítě.
🔹 Aktivovat krizový tým.
      IT, bezpečnost, management, právní oddělení i komunikace musí vědět, kdo má jakou roli.
🔹 Zajistit důkazy.
      Než začnete cokoliv obnovovat, je důležité zachovat logy a další informace potřebné pro analýzu příčiny.
🔹 Průběžně informovat vedení.

Management potřebuje vědět, co se stalo, jaký je dopad a jaké kroky se právě provádějí.
📌 Největší chybou není samotný útok. Největší chybou je chaos v prvních minutách.
Proto by každá organizace měla mít připravený a pravidelně testovaný Incident Response Plan.
V krizové situaci totiž nerozhoduje jen technologie.
Rozhodují lidé, procesy a připravenost.