Handle a security incident with a playbook: phases and tasks

Im Ernstfall fehlt die Zeit, sich zu überlegen, was als Nächstes zu tun ist. Das Playbook gibt die Reihenfolge vor: fünf Phasen und je Vorfallsart die Aufgaben, die dazugehören. Diese Anleitung richtet sich an das Security-Team und an die Compliance-Verantwortlichen. Den Schutz des Vorgangs selbst behandelt der Überblick.

Beispiel: Das Security-Team der Beispiel GmbH führt den Vorfall Verdächtige E-Mail mit Rechnungsanhang nach dem Playbook für Schadsoftware.

Schritt 1: Das Register Vorfälle öffnen

Klicken Sie in der Seitenleiste auf Transformation & Sicherheit und dann auf Vorfälle. Die Seite Vorfalls-Lagebild zeigt die Zähler Offen, Frist überschritten und Offen & NIS2-relevant und darunter die erfassten Vorfälle.

1

1. 1Vorfall erfassen

Warum ein eigenes Register? Ein Sicherheitsvorfall hat andere Pflichten als eine Störung: Meldefristen nach NIS2 (24 Stunden Frühwarnung, 72 Stunden Meldung, ein Monat Abschlussbericht), betroffene Anwendungen und ein Nachweis, was getan wurde. Das Register bündelt das.

Schritt 2: Einen Vorfall erfassen

Klicken Sie auf Vorfall erfassen. Tragen Sie Titel und Beschreibung ein, wählen Sie Schwere, Status und die Vorfallsart, zum Beispiel Schadsoftware, und klicken Sie auf Speichern. Mit dem Schalter NIS2-relevant (Meldeuhr aktiv) starten Sie die Meldefristen ab dem Zeitpunkt unter Erkannt.

12

1. 1Vorfallsart
2. 2Speichern

Warum die Vorfallsart? Sie wählt die Vorlage: Schadsoftware, Phishing, Datenabfluss, Unberechtigter Zugriff, DDoS-Angriff oder Sonstiges. Jede Vorlage enthält die Aufgaben, die alle Vorfälle brauchen (Umfang feststellen, Meldepflicht nach NIS2 bewerten, Beweise sichern, Abschlussbericht, Erkenntnisse auswerten), und die, die zur Art passen, etwa Befallene Systeme isolieren bei Schadsoftware. Die Aufgaben werden beim Anlegen erzeugt.

Der Vorfall steht danach in der Liste. Ein Klick auf den Stift rechts öffnet ihn zum Bearbeiten.

1

1. 1Vorfall bearbeiten

Schritt 3: Aufgaben zuweisen und erledigen

Im Dialog Vorfall bearbeiten steht unter Bearbeitung nach Playbook die Phasenleiste mit dem Stand je Phase, zum Beispiel Analyse 0/4. Die aktuelle Phase trägt das Kennzeichen Aktuelle Phase. Darunter stehen die Aufgaben der gewählten Phase mit ihrer Beschreibung.

123

1. 1Phasenleiste
2. 2Aufgabe der Phase
3. 3Weiter zur nächsten Phase

• Zuweisen: Wählen Sie bei einer Aufgabe unter Zuständige Person eine Person. Zur Wahl stehen Personen des Mandanten mit Leserecht auf das Register, denn nur sie dürfen die Aufgabe sehen. Die Person bekommt die Meldung Aufgabe im Sicherheitsvorfall zugewiesen.
• Erledigen: Haken Sie die Aufgabe ab. Der Verlauf unten im Dialog hält fest, wer sie wann erledigt hat.
• Überspringen: Bei einer offenen Aufgabe, die für diesen Vorfall nicht passt, klicken Sie auf Überspringen.
• Ergänzen: Tragen Sie unter Aufgabe in dieser Phase ergänzen eine eigene Aufgabe ein und klicken Sie auf Ergänzen.

12

1. 1Abhaken
2. 2Zuständige Person

Warum Aufgaben mit Namen? Im Vorfall ist die häufigste Ursache für verlorene Zeit nicht fehlendes Wissen, sondern dass jeder denkt, ein anderer kümmere sich. Eine Aufgabe mit Namen und Haken macht sichtbar, was offen ist.

Schritt 4: In die nächste Phase wechseln

Sind die Aufgaben der Phase erledigt, klicken Sie auf Weiter zu Eindämmung. Die Phasenleiste springt weiter: Analyse, Eindämmung, Beseitigung, Wiederherstellung, Nachbereitung. Vorwärts ist der Wechsel frei, auch wenn noch Aufgaben offen sind: Daneben steht dann Noch … offene Aufgaben in der aktuellen Phase. Jeder Wechsel steht im Verlauf.

1

1. 1Neue aktuelle Phase

Zurück geht es nur mit Begründung: Wählen Sie die frühere Phase in der Leiste, klicken Sie auf Zurück in diese Phase, tragen Sie die Begründung für den Rücksprung ein und klicken Sie auf Zurücksetzen. Ein Rücksprung ist ein Warnzeichen, etwa wenn die Beseitigung nicht gelang, deshalb soll der Grund festgehalten sein.

Warum nicht erzwingen? Im Vorfall zwingt die Lage manchmal zum Handeln, bevor die Analyse vollständig ist. Das Playbook leitet, es sperrt nicht. Auch das Schließen eines Vorfalls ist mit offenen Aufgaben möglich: Im Playbook sind noch … Aufgaben offen. Sie können den Vorfall trotzdem abschließen.

Der Weg vom Vorgang ins Register

Ein Vorfall im Register muss nicht von Hand entstehen. Wird ein Vorgang über die DORA-Einordnung als IKT-Vorfall oder erhebliche Cyberbedrohung eingeordnet, legt Sicherheitsvorfall anlegen im Reiter DORA den Vorfall mit der Vorfallsart Sonstiges an. Die Vorlage wird übernommen, und die Vorfallsart lässt sich danach anpassen. Der Vorfall übernimmt Titel und Beschreibung des Vorgangs und ist nur mit dem Recht Ansehen im Modul Compliance und Risiko sichtbar. Lesen Sie zur Kennzeichnung Vorgang als Sicherheitsvorfall kennzeichnen.

Wenn etwas nicht klappt

• Das Register zeigt nichts oder meldet einen Fehler. Vorfalls-Lagebild konnte nicht geladen werden. Ohne das Recht Ansehen im Modul Compliance und Risiko ist das Register nicht lesbar.
• Speichern schlägt fehl. Speichern fehlgeschlagen. Prüfen Sie, ob ein Titel eingetragen ist und ob Ihnen das Recht Bearbeiten erteilt ist.
• Eine Aufgabe lässt sich nicht ändern. Die Änderung konnte nicht gespeichert werden. Laden Sie die Seite neu.
• Die Zuweisung scheitert. Zuständige Person nicht gefunden. Die Person braucht ein Leserecht auf das Register.
• Rücksprung ohne Begründung. Für den Rücksprung in eine frühere Phase ist eine Begründung erforderlich.
• Phase ist schon aktuell. Der Vorfall befindet sich bereits in dieser Phase.
• Vorlage übernehmen. Der Vorfall hat bereits Aufgaben. Die Vorlage lässt sich nur auf einen Vorfall ohne Aufgaben anwenden.