Open de map
Kies de werkmap met je procedures en selecteer Ask first, zodat elke wijziging op je OK wacht.
Workflows
NIST-framework voor incidentrespons: controleer je procedure stap voor stap
03
Vergelijk één procedure met openbare richtlijnen
Het NIST-framework voor incidentrespons betekent hier SP 800-61, de gids van NIST voor incidentafhandeling met 4 fasen. Kies één procedure. Vergelijk hem met die fasen, te beginnen met het onderdeel dat voor je team de grootste pijn is bij incidentbeheer, en noteer de gaten.
Lees de openbare gids
Vraag de agent de gids te lezen met web_search en http_get en de fasen in een notitiebestand op te sommen.
Vergelijk de fasen
De agent leest je procedure met read_file en grep en somt dan op welke fasen hij dekt en welke hij nooit noemt.
Controleer de diff
Lees elke voorgestelde bewerking als diff, accepteer de bewerkingen die bij je organisatie passen en wijs de rest af.
Een korte checklist die de agent kan schrijven
Vergelijk docs/triage.md met de fasen uit de openbare gids en som op wat ontbreekt.
- web_search
NIST SP 800-61 phases3 resultaten - http_get
nist.gov SP 800-61 pageopgehaald - read_file
docs/triage.mdgelezen - grep
recovery0 treffers - edit_file
docs/triage.md+8 regels
Wacht op je OK voor de volgende stapAfwijzenAccepteren
ir-checklist.md
# Incident checklist
## Prepare
- [ ] Review the contact list and owners
- [ ] Confirm the backup channel is written down
## Triage
- [ ] Open an incident record with date and time
- [ ] Note who reported it and how
## Contain
- [ ] Record who approves each decision
- [ ] Note times and keep copies of logs
## Communicate
- [ ] Tell the people listed in the plan
## Review
- [ ] Hold a review and assign owners and datesHet bestand is kort. Een klein team kan zo'n checklist op één pagina houden, met 5 fasekoppen en een paar taakregels per kop, en hem later laten uitgroeien tot een cyberresponsplan.
Leg een concept naast het SANS-framework voor incidentrespons
Vergelijk de stappen van twee openbare gidsen
Het SANS-framework voor incidentrespons wordt meestal onderwezen in zes stappen: voorbereiding, identificatie, beheersing, uitroeiing, herstel en geleerde lessen. Vraag de agent die stappen in een tabel naast de 4 fasen van SP 800-61 te zetten. web_search vindt de pagina's en http_get haalt telkens één pagina op. Daarna opent read_file je procedure en zoekt grep elke stap op naam, zodat het resultaat een tabel is met de stappen die je document noemt en de stappen die het weglaat. Er wordt nog niets bewerkt. Lees de tabel zelf en beslis met collega's welke gaten ertoe doen voordat je iets wijzigt.
Voeg toe wie wanneer en hoe wordt ingelicht
Een communicatieplan beantwoordt wie wordt ingelicht, wanneer, door wie en via welk kanaal, en een reservekanaal mag niet afhangen van de systemen die getroffen kunnen zijn. Als je externe leveranciers toetst, vraag dan elk om een incidentcontact en zet dat op de lijst, want een incident bij een leverancier kan je eigen systemen raken. read_file opent de lijst en edit_file voegt een communicatiesectie toe voor directie, IT, juridische zaken, HR, getroffen medewerkers, klanten en autoriteiten. Meldplichten en termijnen verschillen per land en sector, dus bevestig ze bij een jurist; dit is geen juridisch advies. Ask first toont de diff. Bel daarna zelf elk contact één keer om de lijst te testen.
