Əsas fikir
Planı yalnız mərhələlərin siyahısı kimi deyil, kimin nə vaxt qərar verdiyini, hansı sübutun qorunduğunu və xidmətlərin necə bərpa edildiyini göstərən əməliyyat sənədi kimi qurun.
Planın məqsədi və nəticələri
Plan şübhəli hadisənin kimə bildirilməsini, siqnalın qiymətləndirilməsini, zərərin məhdudlaşdırılmasını və işin bərpasını müəyyən edir. Hazırlığın yeddi məqsədi var: zərər və itkiləri azaltmaq, müdafiəni gücləndirmək, uyğunluq işini dəstəkləmək, bərpanı sürətləndirmək, nüfuz və müştəri etibarını qorumaq, təhdidləri daha yaxşı anlamaq və əməkdaşların hazırlığını artırmaq. Hər məqsədi konkret məsul şəxs, prosedur və məşq ssenarisi ilə əlaqələndirin.
Daha ardıcıl qərarlar
Əvvəlcədən razılaşdırılmış rollar, prioritetlər və eskalasiya meyarları təzyiq altında qərarları aydınlaşdırır.
Xidmətlərin bərpası
Kritik xidmətlər və asılılıqlar məlum olduqda bərpa ardıcıllığı və qəbul edilən dayanma müddəti planlaşdırıla bilər.
Etibar və məlumatlandırma
Təsdiqlənmiş daxili kommunikasiya və bildiriş səlahiyyəti yanlış, gecikmiş və ya ziddiyyətli açıqlama riskini azaldır.
Öyrənmə və hazırlıq
Məşqlər, hadisə qeydləri və sonrakı təhlil komandalar arasında tapşırıqların ötürülməsindəki problemləri və çatışmayan giriş icazələrini üzə çıxarır.
NIST və SANS modellərini düzgün oxumaq
SANS-ın yayğın altı mərhələsi Hazırlıq; Müəyyənləşdirmə; Məhdudlaşdırma; Aradan qaldırma; Bərpa; və Öyrənilmiş dərslərdir. Köhnə NIST SP 800-61 Rev. 2 (2012) isə Hazırlıq; Aşkarlama və təhlil; Məhdudlaşdırma, aradan qaldırma və bərpa; Hadisədən sonrakı fəaliyyət kimi dörd qrupdan istifadə edirdi. Bu faydalı tarixi əməliyyat modelləridir. NIST SP 800-61 Rev. 3 2025-ci ilin aprelində yayımlanıb və Rev. 2-ni əvəz edir: o, cavab tədbirlərini ayrıca xətti dörd mərhələ kimi deyil, NIST CSF 2.0 risk idarəetməsi boyunca inteqrasiya edir; Detect, Respond və Recover funksiyaları ilə yanaşı Govern, Identify və Protect hazırlığını da vurğulayır.
| Model | Nəyi verir | Tətbiq qaydası |
|---|---|---|
| SANS altı mərhələ | Fəaliyyət ardıcıllığı: hazırlıqdan hadisənin təhlilinə və prosesin təkmilləşdirilməsinə qədər. | Terminləri öz addım-addım təlimat və eskalasiya qaydalarınıza uyğunlaşdırın. |
| NIST SP 800-61 Rev. 2 | Dörd qruplaşdırılmış faza; 2025-ci ildə Rev. 3 ilə əvəz edilib. | Mövcud siyasətlərdəki istinadları tanıyın; cari NIST tövsiyələri kimi təqdim etməyin. |
| NIST SP 800-61 Rev. 3 / CSF 2.0 | Hadisəyə cavabı təşkilatın ümumi kibertəhlükəsizlik risk idarəetməsinə bağlayır. | İdarəetmə, identifikasiya və qoruma işlərini aşkarlama, cavab və bərpa ilə birlikdə planlaşdırın. |
Planın əsas hissələri
Plan real aktiv siyahısına, sistem asılılıqlarına və işlək əlaqə vasitələrinə söykənməlidir. Hər rol üçün əvəzedici təyin edin; səlahiyyətli şəxslərin əlçatan olmadığı halda qərarın kimə keçdiyini göstərin. Kateqoriyalar və şiddət dərəcələri komandanın istifadə etdiyi terminlərlə müəyyənləşdirilməli, texniki siqnaldan biznes təsirinə keçid izah olunmalıdır.
Aktivlər və prioritetlər
Serverləri, şəbəkələri, tətbiqləri, hesabları, məlumat növlərini, bulud tenantlarını, təchizatçıları və kritik xidmət asılılıqlarını inventarlaşdırın. Xidmətin sahibi və bərpa ardıcıllığı göstərilsin.
Rollar və səlahiyyət
Hadisə rəhbərini, texniki araşdırmanı, sistem sahiblərini, rəhbərliyi, hüquq və məxfilik üzrə mütəxəssisləri, HR və kommunikasiyanı hadisənin uyğun olduğu hallarda müəyyən edin. İzolyasiya, hesabın söndürülməsi, xarici bildiriş və bərpa üçün təsdiq səlahiyyətini yazın.
Kommunikasiya və eskalasiya
Daxili kanal, alternativ əlaqə üsulu, çağırış zənciri, vəziyyət yeniləmələrinin ritmi və təsdiqlənmiş sözçünü müəyyən edin. Komprometasiya şübhəsi varsa, etibarsız ola biləcək korporativ e-poçt və əməkdaşlıq vasitələrinə güvənməyin.
Qeydlər və sübutlar
Hadisə vaxt xəttini, qərarları, təsdiqləri, müşahidə mənbələrini, görülən addımları və sübutların kimdə olduğunu qeyd edin. Jira Service Management kimi insident platforması eskalasiyaları avtomatlaşdıra bilər, əgər təşkilat inteqrasiyanı qurub sınaqdan keçiribsə. Araşdırma, forensika və bərpa qeydlərini əlaqələndirin; sübutların saxlanma və paylaşma qaydasını uyğun mütəxəssislərlə müəyyən edin.
Hadisə zamanı əməliyyat ardıcıllığı
Hadisəni təsnif etdikdən sonra cavab paralel istiqamətlərdə gedə bilər: təhlil, təhlükənin məhdudlaşdırılması, kommunikasiya, sübutların qorunması və bərpa planı. Aşağıdakı ardıcıllıq SANS-ın tanış mərhələlərini praktik işə çevirir; NIST Rev. 3-ün risk-idarəetmə yanaşması ilə birlikdə tətbiq edin.
Hazırlıq və aktivləşdirmə
Təlim keçmiş cavab qrupunu, addım-addım təlimatları, monitorinqi, ehtiyat nüsxələri və əlaqə siyahılarını hazırlayın. Hadisə meyarı ödəndikdə rəhbəri təyin edin, hadisə qeydi açın və vaxt mənbələrini razılaşdırın.
Aşkarlayın, təsdiqləyin və təsiri qiymətləndirin
Xəbərdarlıqları, istifadəçi bildirişlərini və sistem qeydlərini kontekstlə yoxlayın. Təsirlənmiş aktivləri, hesabları, məlumatları, mümkün yayılmanı və biznes xidmətlərini müəyyən edin; naməlum sahələri ayrıca qeyd edin.
Məhdudlaşdırın və sübutu qoruyun
Təcili yayılma riskini azaltmaq üçün təsdiqlənmiş addımları atın: cihazı şəbəkədən ayırmaq, hesabı məhdudlaşdırmaq, sessiyanı ləğv etmək və ya zərərli faylı karantinə almaq. Addımın xidmətə, sübuta və davam edən araşdırmaya təsirini nəzərə alın; səbəbsiz söndürmə və silmə dəlilləri məhv edə bilər.
Aradan qaldırın və bərpa edin
Zərərli proqramı, arxa qapıları və davamlılıq mexanizmlərini müəyyən edib aradan qaldırın, istifadə olunan zəifliyi düzəldin, etimadnamələri yeniləyin. Təmiz və yoxlanmış mənbədən bərpa edin; sistemlərin normal işlədiyini yoxlayın və qalmış təhlükənin əlamətlərini izləyin.
Yeniləyin və təkrar məşq edin
Vaxt xəttini, təsiri, tədbirləri və açıq riskləri yekunlaşdırın. Nəyin işlədiyini, hansı məlumat və girişlərin çatışmadığını, eskalasiyanın gecikib-gecikmədiyini müəyyən edin; sahib və son tarix təyin edərək planı və nəzarətləri yeniləyin.
Təsir, kommunikasiya və bərpa hədəfləri
Məlumatın həssaslığını, xidmətin kritikliyini, mümkün maliyyə və əməliyyat nəticələrini, təchizatçı asılılığını və yayılma ehtimalını qiymətləndirin. Hər bir kritik funksiya üçün bərpa vaxtı hədəfi (RTO) xidmətin nə qədər dayanmasına dözümlü olduğunuzu, bərpa nöqtəsi hədəfi (RPO) isə qəbul edilən məlumat itkisi intervalını ifadə edir. Bunlar hədəfdir, təminat deyil; sahib, prioritet, ehtiyat nüsxə və sınaqla əlaqələndirilməlidir. Hüquqi və tənzimləyici bildiriş öhdəliklərini hadisənin faktlarına və müvafiq yurisdiksiyaya əsasən mütəxəssislə qiymətləndirin.
Xarici məlumatlandırma
Müştərilər, tərəfdaşlar, sığortaçı, tənzimləyici və hüquq-mühafizə ilə əlaqə üçün qərar sahibini, faktların təsdiqini və kommunikasiya ardıcıllığını müəyyən edin.
Bərpa asılılıqları
Kimlik xidməti, DNS, şəbəkə, ehtiyat nüsxə kataloqları, bulud hesabları və kritik təchizatçıların bərpa sırasını qeyd edin. Bərpa mənbələrinin insidentdən təsirlənmədiyini yoxlayın.
MTTR-i dəqiq müəyyən edin
MTTR bərpa və təmirə qədərki orta vaxtı ifadə edə bilər; bəzi komandalar qısaltmanı cavaba və ya həllə qədərki vaxt üçün işlədir. Hesabatda başlanğıc və son hadisəni, əhatə olunan insidentləri və hesablamanı dəqiq yazın. Məsələn, üç nasazlığın ümumi dayanma müddəti altı saatdırsa, təmirə qədər orta vaxt iki saatdır. Orta göstəricini şiddət, xidmət təsiri və RTO ilə birlikdə oxuyun; o, ayrı-ayrı insidentlərin ağırlığını gizlədə bilər.
Xarici cavab tərəfdaşını seçmək
Əvvəlcə öz boşluqlarınızı müəyyən edin: gecə-gündüz monitorinq, forensika, təhlükənin məhdudlaşdırılması və aradan qaldırılması, bərpa, məşq və ya hadisədən sonrakı təhlildən hansına ehtiyac var? Müqavilədə xidmətin sərhədi, eskalasiya kontaktı, iş saatları və cavab vaxtının necə ölçüldüyü, hansı sistemlərə giriş veriləcəyi, məlumatın saxlanması və hesabatın məzmunu açıq olmalıdır. Cavab mövcudluğu və sürəti barədə vendor iddiasını yazılı şəkildə dəqiqləşdirin.
Ehtiyac və təcrübə
Sizin texnologiya, sektor və ssenarilərinizə uyğun təcrübəni, komanda heyətini, sertifikatların aktuallığını və nümunə iş metodunu yoxlayın. Müştəri istinadlarını oxşar ölçü və mürəkkəbliklə seçin.
Əhatə, mövcudluq və inteqrasiya
Monitorinq saatlarını, coğrafi və texniki əhatəni, növbətçi əlaqəni, alət inteqrasiyalarını, araşdırmanın dərinliyini və yerində dəstək şərtlərini soruşun. Mövcudluğun SLA olub-olmadığını və istisnaları dəqiqləşdirin.
Kommunikasiya və hesabat
Hadisə rəhbərinin kim olduğunu, yeniləmə tezliyini, qərarların necə təsdiqlənəcəyini, hesabat nümunəsini və hesabatda vaxt xətti, əhatə, istifadə olunan metod, nəticələr, məhdudiyyətlər və tövsiyələrin olub-olmadığını yoxlayın.
Maliyyə və sonrakı dəstək
Retainer, hadisə başına ödəniş və abunə modelini; əlavə xərcləri, ləğv və yenilənmə şərtlərini müqayisə edin. Hadisədən sonra kök-səbəb təhlili, düzəliş planı, məşq və təhlükəsiz məlumatın qaytarılması və silinməsi şərtlərini soruşun.
Planı sınaqdan keçirmək və hadisə hesabatı
Planı ən azı ildə bir dəfə və əhəmiyyətli texnologiya, komanda və ya biznes dəyişikliyindən sonra nəzərdən keçirin; cədvəli və dərinliyi riskə uyğun seçin. Masaüstü məşqdə rəhbərlikdən sistem sahibinə qədər rol sahiblərini iştirak etdirin, ehtiyat kanalı və qərar səlahiyyətlərini yoxlayın. Hadisə hesabatı yalnız baş verəni deyil, təsiri və növbəti tədbirlərin sahibini də göstərməlidir.
Plan nədir və niyə lazımdır?
Plan rolları, cavab prosedurlarını, kommunikasiya və sonrakı təhlili sənədləşdirir. Komanda təzyiq altında belə qərar səlahiyyətlərini, eskalasiya yolunu və növbəti addımı bilir.
Plan nə vaxt yenilənib sınaqdan keçirilməlidir?
Ən azı ildə bir dəfə planı nəzərdən keçirin və məşq keçirin. İnfrastruktur, təchizatçı, komanda və ya biznesdə mühüm dəyişiklik olduqda, həmçinin insidentdən sonra prosedurları yeniləyin və dəyişiklikləri sınaqdan keçirin.
İnsident hesabatına nə daxil edilməlidir?
Hadisənin növü, təsirlənmiş sistemlər və vaxt xətti; aşkarlanma üsulu, təhlil və istifadə edilmiş zəiflik; məhdudlaşdırma, aradan qaldırma və bərpa addımları; məlumat itkisi, maliyyə və reputasiya təsiri barədə məlum olanlar; qeyri-müəyyənliklər; öyrənilmiş dərslər və konkret tədbirlər, onların sahibləri və son tarixləri. Rəqəmlər təsdiqlənməyibsə, onları fakt kimi təqdim etməyin.
Plan üçün neçə mərhələ seçilməlidir?
Vahid məcburi say yoxdur. SANS-ın tanış modeli altı mərhələdən ibarətdir; əvvəlki NIST SP 800-61 Rev. 2 dörd qrupdan istifadə edirdi, lakin 2025-ci ildə Rev. 3 ilə əvəz olundu. Cari planınızı NIST CSF 2.0 risk idarəetməsi ilə uyğunlaşdırın və seçilən mərhələləri öz rollarınıza, səlahiyyətlərinizə və bərpa ehtiyaclarınıza uyğunlaşdırın.