インシデント対応ハンドブックを作成する方法

効果的なインシデント対応プレイブックの構築には、次の重要な手順が含まれます。

ステップ 1. 既存の Playbook とフレームワークの使用を検討する

公開されているインシデント対応プレイブックを確認して、どのアクティビティが文書化されているか、各アクティビティについて提供される詳細レベル、一連のアクティビティがどのように編成されているかを確認します。多くの組織は、NIST インシデント対応フレームワークのリビジョン 2 のフェーズに従ったプレイブックを使用しています。検出と分析。封じ込め、根絶、回復。そして事件後の活動。

一部の組織は、ハンドブックを以下に基づいています。 最新の NIST インシデント対応と推奨事項では、インシデント対応ライフサイクルを 3 つの段階で説明しています。

• 検出し、対応し、回復します。
• 統治し、識別し、保護します。
• 改善点を特定します。

このモデルは、NIST サイバーセキュリティ フレームワーク 2.0 および CSF 2.0 に基づくリソースとの完全な連携を提供します。

ステップ 2. 既存のインシデント対応プログラムを評価して更新する

インシデント対応活動に関連する既存のポリシー、手順、その他の文書を収集します。完全性、正確性、使いやすさを評価します。

ステップ 3. 適切に構成された Playbook を作成する

構造や構成を含め、プレイブックの内容を適切に計画します。これはバランスをとる行為です。プレイが詳細であればあるほど、プレイブックがより包括的であればあるほど、作成と維持に多くの労力がかかります。しかし、この取り組みにより、インシデント対応担当者の時間が節約され、対応活動の質が向上する可能性があります。プレイブックを構築する 1 つの方法は、特定のインシデントに対する潜在的な対応アクションと、それらに関連するプロセスと手順をリストすることです。

ステップ 4. Playbook をユーザーフレンドリーにする

インシデント対応のハンドブックが明確かつ簡潔で、読みやすく、使いやすいものであることを確認します。組織の特定のプレイブックのニーズが特定されたら、ユーザーが従う簡単な手順を作成します。手順が不明瞭または複雑な場合、チームメンバーはインシデント発生中に必要なタスクを完了するのに苦労する可能性があります。これにより遅延が発生します。

ステップ 5. プレイブックと計画を更新する

インシデント後の分析とフィードバックを実施して、実際の台本なしのインシデントに対してハンドブックがどの程度うまく機能したかをレビューします。プレイブックを使用したすべてのユーザーからフィードバックを収集し、実行するさまざまな手順がプレイブックによってどの程度適切に提供されているか、混乱したり扱いにくいことが判明したかどうかを判断します。フィードバックが収集されたら、既存のプレイブックと照らし合わせてレビューし、必要な変更や更新を加えます。