Che cos'è una revisione delle lezioni apprese dopo un incidente?
È una riunione, tenuta entro qualche settimana dall'incidente, in cui tutti i coinvolti ripercorrono che cosa è successo e che cosa cambiare. Ricostruisca la cronologia dal registro dell'incidente, poi si ponga quattro domande: che cosa è andato bene, che cosa è andato male, che cosa non sapevamo o non avevamo, e che cosa cambieremo, con un responsabile e una data per ogni modifica. Senza cercare colpevoli: lo scopo è sistemare sistemi e procedure, non punire qualcuno, altrimenti la volta successiva gli errori verranno nascosti. Risultati tipici sono un accesso remoto chiuso, l'MFA dove mancava, un backup ora offline, un elenco telefonico che funziona, un log conservato più a lungo. Riporti i risultati nel piano e nella prossima esercitazione tabletop. Gli alert di NetSenX e il log di audit danno alla revisione una cronologia fattuale per la parte di rete.
Questa risposta compare anche, con più contesto, qui: Risposta agli incidenti
Da leggere dopo
Domande correlate
- Che cosa facciamo con un alert di sicurezza di notte quando nessuno è reperibile?
- Avremmo potuto prevedere un attacco ransomware nel fine settimana?
- Quanto tempo passa tra il primo accesso e la cifratura?
- Come può diffondersi un ransomware tramite una chiavetta USB o un disco esterno?
- Quali prove conservare per l'assicuratore, la polizia e l'autorità?
← Tutte le 60 domande su Risposta agli incidentiTutti i temi