Hvordan prioriterer vi mellem at få driften op og bevare digitale beviser under en hændelse?

I situationer, hvor IT-sikkerheden er truet, er det afgørende at have en klar bevisstrategi på plads, inden en hændelse opstår. Dette sikrer, at teknikerne har retningslinjer at følge, så de ikke står alene i en krisesituation. En sådan strategi bør omfatte, hvilke beviser der skal sikres, og hvordan de skal opbevares, så det er muligt at gendanne kritiske systemer uden at miste vigtige digitale beviser.

Under en hændelse er det ofte nødvendigt at prioritere hurtig isolering og gendannelse af kritiske systemer. Det er vigtigt at gemme snapshots, logs og andre relevante data, som kan være afgørende for at forstå hændelsen og eventuelt dokumentere den for fremtidige analyser eller juridiske formål. Det er vigtigt at vurdere, hvad der er proportionalt i forhold til hændelsens alvorlighed, så man ikke går på kompromis med driften unødigt.

Dokumentation er en central del af processen. Det skal klart fremgå, hvem der træffede beslutninger om gendannelse, hvilke beviser der blev sikret, og hvad der eventuelt gik tabt i processen. Denne dokumentation kan være afgørende, hvis der senere skal foretages en juridisk vurdering eller rapportering til myndighederne.

Hvis der er mistanke om kriminalitet eller behov for regulatorisk rapportering, er det vigtigt at involvere juridiske og ledelsesmæssige instanser hurtigt. Dette sikrer, at alle handlinger er i overensstemmelse med gældende lovgivning og interne politikker, hvilket kan være med til at beskytte organisationen mod yderligere risici.

Kilder: NIST Special Publication 800-61 Revision 2 ↗