Der Vorfallsreaktionsplan, geschrieben aus wenigen Antworten

# Reaktionsplan für Informationssicherheitsvorfälle: [Unternehmen]

Vorfallsleitung: [die Vorfallsleitung] · Stellvertretung: [die Stellvertretung] · Freigegeben von: [oberste Leitung]

Geschrieben am  mit der kostenlosen Seite auf getstandardos.com gegen die Controls aus Anhang A zum Vorfallsmanagement der ISO/IEC 27001:2022. Die Formulierungen sind die von StandardOS; die regulatorischen Fristen werden aus dem Paket gelesen, das auch die Fristenseiten zu DSGVO, NIS2 und CRA antreibt.

## 1. Zweck und Geltungsbereich

Dieser Plan sagt, was [Unternehmen] von dem Moment an tut, in dem ein Informationssicherheitsereignis bemerkt wird, bis der Vorfall geschlossen ist und seine Lehren umgesetzt sind. Er gilt für jedes System, jeden Dienst und jeden Standort im Anwendungsbereich des Managementsystems, für jede Person, die unter der Kontrolle des Unternehmens arbeitet, und für die Lieferanten, deren Vorfälle die Daten oder Kunden des Unternehmens erreichen.

## 2. Rollen

- [die Vorfallsleitung] leitet jeden Vorfall: erklärt ihn, legt den Schweregrad fest, führt die Reaktion, entscheidet über Meldungen, schließt den Vorfall und verantwortet die Nachbesprechung.
- [die Stellvertretung] vertritt, wenn die Leitung nicht erreichbar ist, mit derselben Befugnis, und die beiden sind nie am selben Tag beide unerreichbar.
- Alle melden: Wer ein Ereignis bemerkt, meldet es sofort über den Kanal unten, und niemand braucht eine Erlaubnis zum Melden.
- Nur [die Vorfallsleitung] oder die oberste Leitung sprechen mit Kunden, Behörden oder der Presse über einen Vorfall; niemand sonst bestätigt oder bestreitet einen.

## 3. Ein Ereignis melden

Ein Ereignis wird über [noch auszufüllen] gemeldet, zu jeder Stunde. Eine Meldung ist nie falsch, weil sie früh kam oder sich als nichts herausstellte; das Ereignis, das gesehen und nicht gemeldet wurde, ist das Versagen.

Eine Meldung sagt, was gesehen wurde, wo, wann, von wem und was bereits getan wurde; sie wartet nicht, bis Ursache oder Auswirkung bekannt sind.

## 4. Bewertung und Schweregrad

[die Vorfallsleitung] entscheidet innerhalb der Stunde, ob das Ereignis ein Vorfall ist, und legt einen von drei Schweregraden fest, der angepasst wird, wenn sich das Bild ändert:

- Niedrig: ein System oder eine Person betroffen, keine personenbezogenen oder Kundendaten offengelegt, kein Dienst ausgefallen; vom Team in der Arbeitszeit behandelt, in der nächsten wöchentlichen Besprechung durchgesehen.
- Mittel: Kundendaten oder ein kundenseitiger Dienst betroffen, innerhalb des Tages eingedämmt; die Leitung führt ihn, Kunden, deren Daten oder Dienst berührt sind, werden informiert, die regulatorischen Fristen werden geprüft.
- Hoch: bestätigte Offenlegung personenbezogener Daten, ein Dienst für Kunden ausgefallen, Ransomware oder ein Angreifer mit Zugriff; alle Hände, oberste Leitung innerhalb der Stunde informiert, die regulatorischen Fristen beginnen, externe Hilfe hinzugezogen, wo das Team allein nicht eindämmen kann.

## 5. Die Reaktion

1. Eindämmen: zuerst die Ausbreitung stoppen, das System isolieren, das Zugangsdatum widerrufen, die Adresse sperren, den Dienst abschalten, wenn es sein muss; Eindämmung vor Verständnis.
2. Bewerten: feststellen, was passiert ist, was betroffen ist, ob personenbezogene oder Kundendaten beteiligt sind und seit wann; aufschreiben, wie es bekannt wird, mit der Uhrzeit jeder Erkenntnis.
3. Beseitigen: die Ursache entfernen, die Schadsoftware, das Konto, die Schwachstelle, die Fehlkonfiguration, und bestätigen, dass sie weg ist, bevor etwas wiederhergestellt wird.
4. Wiederherstellen: aus bekannt guten Sicherungen wiederherstellen oder neu aufbauen, den Dienst prüfen, ihn in den Tagen danach genau beobachten und die Eindämmungsschritte der Reihe nach aufheben.
5. Kommunizieren: ein Vorfallsprotokoll von der ersten Minute an führen, die Personen im Unternehmen informieren, die handeln müssen, und Kunden, Behörden und Partner so informieren, wie der Plan und die Fristen unten es verlangen, in dieser Reihenfolge.

Werkzeuge: [noch auszufüllen].

## 6. Meldungen und regulatorische Fristen

Jede Frist unten läuft ab dem Moment der Kenntnis, nicht ab dem Moment, in dem die Ursache gefunden ist; die Leitung hält diesen Moment im Protokoll fest, wenn der Vorfall erklärt wird.

[Keine Verordnung ausgewählt. Wenn das Unternehmen personenbezogene Daten verarbeitet, eine wesentliche oder wichtige Einrichtung ist, ein Produkt mit digitalen Elementen herstellt oder Finanzunternehmen bedient, gehört die entsprechende Frist hierher.]

Außerhalb des Unternehmens informieren wir: [noch auszufüllen].

## 7. Belege

Von der ersten Minute an sichert die Leitung, was eine spätere Untersuchung, ein Versicherer, eine Behörde oder ein Gericht brauchen könnte: das Vorfallsprotokoll mit Uhrzeiten, die Logs und Alarme als exportierte Kopien, Datenträger- und Speicherabbilder, wo ein Angreifer war, die gesendeten und empfangenen Nachrichten und die Entscheidungen mit den Personen, die sie getroffen haben; Originale bleiben unverändert, gearbeitet wird an Kopien, und die Kette, wer was in Händen hatte, wird festgehalten.

## 8. Aus dem Vorfall lernen

Innerhalb von 10 Tagen nach dem Schließen eines Vorfalls mittleren oder hohen Schweregrads hält [die Vorfallsleitung] eine Nachbesprechung mit den Beteiligten: was passiert ist, was funktioniert hat, was nicht, und welches Control, Verfahren oder welche Schulung es zugelassen hat. Jede Ursache wird zu einer Korrekturmaßnahme mit Verantwortlichem und Termin, und der Vorfall und seine Maßnahmen sind eine Eingabe der nächsten Managementbewertung.

## 9. Übungen

Der Plan wird einmal im Jahr als Planspiel an einem geschriebenen Szenario geübt, mit der Leitung, der Stellvertretung und den Personen, die handeln würden, und der Plan wird geändert, wo die Übung ihn als falsch zeigt.

## 10. Aufzeichnungen

Jedes gemeldete Ereignis, ob es ein Vorfall wurde oder nicht, wird mit Datum, Bewertung und Ergebnis aufgezeichnet; das Vorfallsprotokoll, die gesendeten Meldungen und die Nachbesprechung werden als dokumentierte Information des Managementsystems aufbewahrt, für die Zertifizierungsstelle verfügbar, und in der Managementbewertung gezählt.

Freigegeben von [oberste Leitung] am [Datum]. Überprüft nach jedem Vorfall hohen Schweregrads, nach jeder Übung und mindestens einmal im Jahr.

Dieser Plan ist aus den gegebenen Antworten geschrieben. Er ist keine Zertifizierungs- oder Rechtsberatung; die Zertifizierungsstelle liest den Plan auf die Rollen, das Verfahren, die Aufzeichnungen und die Belege, dass er befolgt wird, und die regulatorischen Fristen sind gegen die Verordnungen selbst zu lesen.