Att hantera incidenter
Incidenthantering handlar om att vara förberedd på oplanerade händelser och att veta vad man ska göra när något oförutsett händer. Verksamhetens förmåga att förutse och hantera oplanerade händelser kan minska de negativa följderna av en incident. Det handlar också om att i efterhand kunna granska vad som har hänt och dra lärdomar så att man kan sätta in åtgärder för att minska risken för att det händer igen.
Incidenthanteringen är därför en viktig del i ett strukturerat arbete med informationssäkerhetsarbete och hänger även samman med verksamhetens kontinuitetshanteringsarbete. Både incidenthantering och kontinuitetsarbete är viktiga i det förebyggande arbetet och när det gäller att dra lärdomar för att kunna utveckla och förbättra verksamhetens informationssäkerhet.
Att arbeta med incidenthantering
Inom dataskydd handlar incidenthantering framför allt om att kunna:
- Förebygga för att minska risken för att incidenter ska inträffa.
- Upptäcka så tidigt som möjligt att en incident inträffat eller är på väg att inträffa.
- Åtgärda för att göra det som behövs för att avvärja incidenten och begränsa dess skadeverkningar.
- Återställa för att göra det som behövs för att komma tillbaka till läget innan incidenten inträffade.
- Rapportera det inträffade, både för eget bruk och till relevanta tillsynsmyndigheter.
Hos Myndigheten för samhällsskydd och beredskap, MSB, hittar du Metodstöd för informationssäkerhet som innehåller en mer detaljerad vägledning för incidenthantering.
MSB:s Metodstöd för systematiskt informationssäkerhetsarbete i organisationer
Organisation
Beroende på hur verksamheten är uppbyggd kan man behöva ha en intern organisation kring arbetet med incidenthanteringsprocessen. Processen kan delas in i tre faser: förebyggande arbete, upptäcka och hantera samt dra lärdom och utveckla vidare. Faserna kan behöva olika typer av kompetenser, till exempel teknisk, administrativ, kommunikativ och juridisk. Varje fas har sina med utpekade roller och uppgifter där omfattningen av varje roll och mängden uppgifter kan variera.
Förebyggande arbete
Det förebyggande arbetet handlar om att:
- gå igenom hur en incident kan inträffa
- sätta in åtgärder som motverkar incidenter
- sätta in åtgärder som minskar konsekvenserna av om något ändå inträffar.
Genom att känna till verksamhetens processer och it-miljö samt hur dessa hänger ihop underlättas det förebyggande arbetet.
Att kunna upptäcka och identifiera
Gå igenom vilka kontroller och åtgärder som skulle kunna användas för upptäcka om de hot och risker som identifierats inträffar. Vilka signaler skulle kunna visa på att en incident har hänt eller är på väg att hända? Att snabbt kunna tolka och förstå dessa signaler är ofta nyckeln till att kunna minska konsekvenser och för att avvärja problemet.
Ta fram processer
Ta fram processer för att hantera, dokumentera och kommunicera olika typer av incidenter. Ta även med vad som ska rapporteras eller anmälas, till vem eller vilka och när.
Sprida kunskap
Verksamhetens säkerhetskultur spelar stor roll för hur väl incidenter kan hanteras. Utbilda medarbetarna om vilka hot och risker som finns och vilka tecken som kan vara bra att uppmärksamma när allt inte fungerar som det ska. Berätta också hur de ska anmäla interna incidenter som upptäcks eller som sker, så att dessa kan hanteras så snabbt som möjligt.
Upptäcka och hantera i det förebyggande arbetet
Det är viktigt att snabbt förstå vad en incident består av, att hantera skadorna samt att begränsa spridning och negativa följder när någon upptäcker eller misstänker en incident. Vad som behöver göras beror på incidentens natur.
Olika incidenter behöver olika hantering
Exempel- Om användarna inte kan nå personuppgifterna på grund av ett tekniskt fel eller ett mänskligt misstag handlar det om att reparera och återställa den möjligheten.
- Rör det sig om ett dataintrång kan det handla om att stänga av möjligheten att komma åt data och analysera intrångets konsekvenser.
- Har man drabbats av skadlig kod kan en hel it-miljö behöva återskapas från säkerhetskopior.
Ni får ett gott underlag för anmälnings- och rapporteringsskyldigheter samt för efterarbete genom att löpande dokumentera:
- Vilka åtgärder som har gjorts för att ta hand om incidenten.
- När åtgärderna vidtogs och varför.
- Loggar eller annan data som har registrerat vad som har hänt under och på grund av incidenten.
Dra lärdom och utveckla vidare
Gå igenom vad som har hänt och vad som har gjorts på grund av incidenten. Syftet är att dra lärdom av det inträffade och se förbättringsmöjligheter. Det gäller både hur ni förebygger och reagerar på incidenter. Frågor som kan vara bra att ställa sig är:
- Vad kunde vi ha gjort eller haft på plats som hade gjort att incidenten inte inträffat eller inte drabbat oss lika hårt?
- Vad kan vi förbättra i processer, verksamhetsstöd eller utbildning för att undvika att drabbas eller klara oss bättre vid nästa incident?