CSIRT

Что это значит

CSIRT - это команда реагирования на компьютерные инциденты безопасности. Она принимает сообщения, анализирует атаки, координирует реагирование и предупреждает других о новых угрозах. Термин часто путают с CERT, который обозначает похожие команды, просто под исторически другим названием.

В Словакии работают национальный SK-CERT при Национальном управлении безопасности и правительственный CSIRT для государственной администрации, а рядом с ними отраслевые и корпоративные команды. По закону о кибербезопасности именно национальному CSIRT сообщают о серьёзных инцидентах.

Собственный CSIRT может позволить себе только крупная организация. Небольшие фирмы пользуются внешним поставщиком услуг безопасности, который выполняет ту же роль, а при серьёзной атаке могут обратиться и к национальной команде, которая помогает жертвам атак бесплатно.

Как это работает на практике

При инциденте, например атаке программы-вымогателя, контакт с CSIRT - один из первых шагов плана реагирования на инцидент. Команда подскажет, как сохранить следы, не идёт ли речь об известной кампании и где искать возможные инструменты расшифровки.

Субъекты под действием NIS2 должны сообщать о серьёзном инциденте в короткие сроки, первое предупреждение обычно в течение 24 часов. Поэтому стоит заранее подготовить контакты, шаблон сообщения и назначить человека, который подаст его и ночью, и в выходные.

Команды CSIRT публикуют предупреждения об активно эксплуатируемых уязвимостях с обозначением CVE. Отслеживание этих уведомлений помогает ИТ-администратору решить, какие обновления ставить немедленно, а какие могут подождать обычного цикла.

На что обратить внимание

Сообщение в CSIRT не заменяет других обязанностей. Если атака затронула персональные данные, идёт отдельный 72-часовой срок для уведомления Управления по защите персональных данных, а при преступлении стоит подать и заявление в полицию.

При киберстраховании страховщик часто требует, чтобы инцидент решался с назначенной им командой. Если фирма без согласования наймёт другого подрядчика или заплатит выкуп, она может лишиться страховой выплаты, поэтому условия нужно знать ещё до атаки.