إدارة حوادث أمن الحاسوب

يشمل الإعداد الجيد إنشاء فريق استجابة للحوادث (IRT). ^{[ 7 ]} تشمل المهارات التي يجب أن يمتلكها فريق الاستجابة للحوادث: اختبار الاختراق، والتحليل الجنائي الرقمي ، وأمن الشبكات، وغيرها. ^{[ 8 ]} كما ينبغي على فريق الاستجابة للحوادث مواكبة أحدث التطورات في مجال الأمن السيبراني واستراتيجيات الهجوم الحديثة. ^{[ 9 ]} يُعدّ برنامج تدريب المستخدمين النهائيين بالغ الأهمية، إذ تستهدف معظم استراتيجيات الهجوم الحديثة المستخدمين على الشبكة. ^{[ 6 ]}

كجزء من مرحلة التحضير في الاستجابة للحوادث، ينبغي وضع خطة تتناول ما يلي:

• الأدوار والمسؤوليات
• قائمة بأعضاء فريق الاستجابة للحوادث ومهامهم
• بروتوكولات الاتصال
• التدريب والتوعية
• سياسات وتكوينات التسجيل
• تعريفات حالة الحدث وعتباتها
• كتيبات الإجراءات ودفاتر العمليات لأنواع الحوادث الشائعة
• الاعتبارات القانونية واعتبارات الامتثال ^{[ 10 ]}

يُحدد هذا الجزء من خطة الاستجابة للحوادث ما إذا كان قد وقع حدث أمني. ^{[ 11 ]} عند إبلاغ المستخدم النهائي عن معلومات أو ملاحظة المسؤول لأي مخالفات، يتم فتح تحقيق. يُعد سجل الحوادث جزءًا أساسيًا من هذه الخطوة. يجب على جميع أعضاء الفريق تحديث هذا السجل لضمان تدفق المعلومات بأسرع وقت ممكن. ^{[ 12 ]} في حال ثبوت وقوع خرق أمني، يتم تفعيل الخطوة التالية. ^{[ 13 ]}

في هذه المرحلة، يعمل فريق الاستجابة للحوادث الأمنية على عزل المناطق التي حدث فيها الاختراق للحد من نطاق الحدث الأمني. ^{[ 14 ]} خلال هذه المرحلة، من المهم الحفاظ على المعلومات بشكل جنائي حتى يمكن تحليلها لاحقًا. ^{[ 15 ]} قد يكون الاحتواء بسيطًا مثل عزل غرفة الخوادم فعليًا ، أو معقدًا مثل تقسيم الشبكة لمنع انتشار الفيروس. ^{[ 10 ]}

هنا تتم إزالة التهديد الذي تم تحديده من الأنظمة المتأثرة. ^{[ 16 ]} قد يشمل ذلك حذف الملفات الضارة، أو إغلاق الحسابات المخترقة، أو حذف مكونات أخرى. ^{[ 17 ] [ 18 ]} لا تتطلب بعض الحالات هذه الخطوة، ولكن من المهم فهم الحالة فهمًا كاملًا قبل الانتقال إليها. ^{[ 19 ]} سيساعد ذلك على ضمان إزالة التهديد تمامًا. ^{[ 10 ]}

في هذه المرحلة، تُستعاد الأنظمة إلى وضعها التشغيلي الأصلي. ^{[ 20 ]} في الحوادث المعقدة، مثل هجمات برامج الفدية ، قد لا تقتصر جهود الاستعادة على استعادة البيانات فحسب، بل تشمل أيضًا إعادة بناء الأنظمة المخترقة وإجراء تحليل جنائي رقمي لضمان سلامة المعلومات المستعادة. ^{[ 21 ]} قد تتضمن هذه المرحلة استعادة البيانات، أو تغيير معلومات وصول المستخدم، أو تحديث قواعد أو سياسات جدار الحماية لمنع حدوث اختراق في المستقبل. ^{[ 22 ] [ 23 ]} بدون تنفيذ هذه الخطوة، قد يظل النظام عرضة للتهديدات الأمنية المستقبلية. ^{[ 10 ]}

في هذه الخطوة، تُستخدم المعلومات التي جُمعت خلال هذه العملية لاتخاذ قرارات مستقبلية بشأن الأمن. ^{[ 24 ]} تُعد هذه الخطوة بالغة الأهمية لضمان منع وقوع أحداث مماثلة في المستقبل. كما يُعد استخدام هذه المعلومات لتدريب المسؤولين بشكل إضافي أمرًا بالغ الأهمية لهذه العملية. ^{[ 25 ]} ويمكن أيضًا استخدام هذه الخطوة لمعالجة المعلومات الواردة من جهات أخرى تعرضت لحادث أمني. ^{[ 26 ]}