คู่มือรับมือเหตุการณ์ผิดปกติ: NIST ปรับ SP 800-61 เป็นฉบับที่ 3 ให้เข้ากับ CSF 2.0

อะไรเปลี่ยนไปจากฉบับที่ 2

ฉบับเดิมอธิบายการรับมือเป็นวงจรที่มีขั้นตอนของตัวเอง แยกออกจากงานบริหารความเสี่ยงด้านอื่น ส่วนฉบับที่ 3 วางการรับมือเหตุการณ์ไว้ในกรอบ CSF 2.0 ทั้งหกฟังก์ชัน โดยมองว่าทุกฟังก์ชันมีบทบาทต่อการรับมือ ไม่ใช่เฉพาะช่วงที่เกิดเหตุ ผลในทางปฏิบัติคือแผนรับมือไม่ควรเป็นเอกสารแยกเล่มที่หยิบมาอ่านตอนเกิดเหตุ แต่ควรเชื่อมกับการกำกับดูแล การป้องกัน และการตรวจจับที่ทำอยู่ทุกวัน

สิ่งที่ต้องเตรียมไว้ก่อนเกิดเหตุ

• รายชื่อผู้รับผิดชอบ: ระบุชื่อและช่องทางติดต่อของผู้มีอำนาจตัดสินใจ รวมถึงผู้ที่ต้องได้รับแจ้งนอกเวลาทำการ
• ช่องทางสื่อสารสำรอง: เตรียมช่องทางที่ไม่พึ่งระบบที่อาจถูกกระทบ เพราะหากอีเมลองค์กรล่ม แผนที่เก็บไว้ในอีเมลก็ใช้ไม่ได้
• เกณฑ์การจัดระดับความรุนแรง: ตกลงล่วงหน้าว่าเหตุการณ์แบบใดต้องรายงานถึงระดับใด เพื่อไม่ต้องถกเถียงกันในนาทีที่ควรลงมือ
• บันทึกที่ใช้สืบสวนได้: เก็บบันทึกการเข้าถึงและบันทึกระบบให้นานพอ และตรวจสอบว่าเข้าถึงได้จริงเมื่อต้องการ

ซ้อมแผนคือส่วนที่ถูกข้ามบ่อยที่สุด

แผนที่ไม่เคยถูกซ้อมมักล้มเหลวที่จุดเล็ก ๆ ที่ไม่มีใครคิดถึง เช่น ไม่มีใครรู้รหัสผ่านของบัญชีฉุกเฉิน หรือเบอร์ติดต่อผู้ให้บริการที่เปลี่ยนไปแล้ว การซ้อมแบบพูดคุยรอบโต๊ะที่ใช้เวลาเพียงหนึ่งถึงสองชั่วโมง มักเปิดเผยช่องว่างเหล่านี้ได้มากกว่าการทบทวนเอกสารอีกรอบ

หลังเหตุการณ์จบ

สิ่งที่ทำให้แผนดีขึ้นจริงคือสิ่งที่เกิดขึ้นหลังเหตุการณ์จบ ควรบันทึกลำดับเหตุการณ์ตามเวลาจริง ระบุจุดที่การตรวจจับหรือการสื่อสารช้ากว่าที่ควร แล้วแปลงเป็นงานที่มีผู้รับผิดชอบและกำหนดเวลา การทบทวนที่จบลงด้วยข้อสรุปว่าทุกคนทำดีที่สุดแล้ว มักไม่ทำให้ครั้งต่อไปดีขึ้น