Cyberaanvallen - wint u de race tegen de klok?

De vraag blijft echter: hoe implementeren we die geautomatiseerde incident response? Waar moeten we rekening mee houden voordat we incident response automatiseren?

Automatisering moet breed gedragen worden

Bij het automatiseren van incident response is het belangrijk rekening te houden met het feit dat de uitvoering ervan niet in handen ligt van één enkel team. Terwijl de fase van alarmering van een incident gewoonlijk door IT-beveiligingsteams wordt afgehandeld, is de herstelfase vaak de verantwoordelijkheid van operations-teams. Automatisering moet daarom door de gehele organisatie worden gedragen voordat zij daadwerkelijk wordt ingevoerd. Met de steun van het topmanagement moet het automatiseringsplan deel uitmaken van een algemeen beleid op alle niveaus van het bedrijf - en binnen de IT-afdeling in het bijzonder.

Anderzijds stuit automatisering bij het invoeren ervan nog wel eens op veel - laten we zeggen - terughoudendheid. Wat bedrijven tegenhoudt, is juist de angst dat automatisering een deel van de menselijke controle wegneemt en zo het bedrijf blootstelt aan een systeemrisico. Om dit vooroordeel te overwinnen is het van essentieel belang de automatiseringsplannen aan te passen aan de risico's die ermee gepaard gaan. De banksector is een goed voorbeeld: de toestemming voor contactloze betalingen is geautomatiseerd en vereist beneden een bepaald bedrag geen menselijke tussenkomst. Boven dat bedrag is uiteraard een pincode nodig om te worden goedgekeurd. De kunst is te bepalen waar die drempel geplaatst wordt.

Lees ook dit eerder verschenen artikel 'Drie keer belazerd door ransomeware'

Stroomlijn uw instrumenten

Om incident response te automatiseren, moet u eerst de tools die essentieel zijn voor dit proces vereenvoudigen en standaardiseren. In de praktijk gebruiken bedrijven namelijk vaak (te) veel verschillende tools: een tool voor alarmering, een andere voor remediëring, een derde voor monitoring, en soms zelfs nog een vierde voor detectie na een incident. Het is dan ingewikkeld - zeg maar: vrijwel onmogelijk - om zoveel tools te automatiseren omdat ze vaak niet hetzelfde gegevensformaat gebruiken of dezelfde manieren hebben om gegevens te delen. Stroomlijning van deze veelheid aan instrumenten is een absolute voorwaarde voor een goede automatisering.

Vervolgens moeten bedrijven hun processen en werkmethoden aanpassen om de implementatie van automatisering te vergemakkelijken. Dit omvat het stroomlijnen van interne processen, maar ook het opleiden van teams over de gebruikte tools. Ook daarom is het standaardiseren van tools een eerste vereiste. Met minder tools zijn er onvermijdelijk minder processen te implementeren en minder mensen te trainen op verschillende tools. Bovendien vergemakkelijkt het stroomlijnen van tools ook de communicatie tussen teams en het delen van gegevens, wat essentiële elementen zijn voor een succesvolle automatisering.

Het automatiseren van uw incident response is niet eenvoudig: u moet in staat zijn om alle teams aan boord te krijgen, risico's te beoordelen, uw tools te stroomlijnen en uw interne processen en trainingen aan te passen. Door deze tips toe te passen, maken bedrijven van automatisering echter zonder twijfel een succes.

Door Wytze Rijkmans, Regional Vice President bij Tanium