Ciclo de vida dos incidentes de segurança da informação

Trata-se de um evento ou um conjunto de eventos de segurança, confirmado ou sob suspeita de impactar a disponibilidade, a integridade ou a confidencialidade de informações, assim como qualquer violação a Política de Segurança da Informação. Exemplos: Indisponibilidade do principal sistema da empresa. Ex.: site de e-commerce na Black Friday; Perda de integridade de dados. Ex.: valor editado equivocadamente na folha salarial; Vazamento de informação sensível. Ex.: Vazamento da base de clientes com dados pessoais. Padrão NIST para gestão do ciclo de vida dos incidentes de segurança da informação 1) Preparação: As metodologias de resposta a incidentes enfatizam a preparação a fim de evitar incidentes, garantindo que sistemas, redes e aplicativos sejam suficientemente seguros. Embora a equipe de resposta a incidentes não seja normalmente responsável pela prevenção de incidentes, ela é fundamental para o sucesso dos programas de resposta a incidentes. 2) Detecção e análise: As organizações devem saber lidar com qualquer incidente, mas devem se concentrar em estar preparadas para lidar com incidentes que usam vetores de ataque comuns (mídia externa removível, negação [DDoS], executada a partir de um site ou aplicativo WEB, e-mail, falsificação de identidade, uso indevido, perda ou roubo de equipamentos, entre outros). Detectar e avaliar com precisão os possíveis incidentes, determinar se um incidente ocorreu e, em caso afirmativo, o tipo, extensão e magnitude do problema. Usar fontes de identificação de um incidente, sendo os mais comuns alertas de software de segurança de computador, LOGs, informações publicamente disponíveis e pessoas. A equipe de resposta a incidentes deve trabalhar rapidamente para analisar e validar cada incidente, seguindo um processo pré-definido e documentando cada etapa realizada.  3) Contenção, erradicação e recuperação: Contenção: é importante antes que um incidente sobrecarregue os recursos ou aumente os danos. A maioria dos incidentes exige contenção. Uma parte fundamental é a tomada de decisão, por exemplo, desligar um sistema, desconectá-lo de uma rede, desabilitar certas funções, bloquear um IP. Essas decisões são muito mais fáceis de fazer se houver estratégias e procedimentos predeterminados para conter o incidente. Erradicação: pode ser necessária para eliminar os componentes do incidente. Para alguns incidentes, a erradicação não é necessária ou é realizada durante a recuperação. Como a exclusão de malware e desabilitação de contas de usuário violadas, além de identificar e mitigar todas as vulnerabilidades exploradas. Recuperação: os administradores restauram os sistemas para a operação normal e confirmam se os sistemas estão funcionando normalmente. 4) Atividade Pós-Incidente - "Lessons Learned": Cada equipe de resposta a incidentes deve evoluir para refletir novas ameaças, tecnologia aprimorada e lições aprendidas. Realizar uma reunião de “lições aprendidas” com todas as partes envolvidas após um grande incidente e, opcionalmente, periodicamente após incidentes menores, conforme os recursos permitirem, pode ser extremamente útil para melhorar as medidas de segurança e o próprio processo de tratamento do incidente.