Zarządzanie incydentem

Zarządzanie incydentem to całościowe podejście do sytuacji, w której wystąpił incydent związany z cyberbezpieczeństwem. Pojęcie obejmuje nie tylko podjęcie działań wobec konkretnego zdarzenia, lecz także analizę jego powiązań, usunięcie przyczyn oraz wykorzystanie zdobytych doświadczeń. Tak rozumiane zarządzanie porządkuje działania podejmowane od chwili rozpoznania incydentu do wyciągnięcia wniosków na przyszłość.

W ustawie „Krajowy system cyberbezpieczeństwa” definicja wskazuje cztery zasadnicze elementy:

• obsługę incydentu, czyli działania ukierunkowane na zajęcie się konkretnym zdarzeniem;
• wyszukiwanie powiązań między incydentami, a więc sprawdzanie, czy pozornie odrębne zdarzenia mogą mieć wspólne źródło, przebieg albo charakter;
• usuwanie przyczyn wystąpienia incydentów, co oznacza dążenie do wyeliminowania źródeł problemu, a nie tylko zajęcie się jego skutkami;
• opracowywanie wniosków z obsługi incydentu, czyli podsumowanie ustaleń i doświadczeń wynikających z przeprowadzonych działań.

Definicja akcentuje zatem, że zarządzanie incydentem nie ogranicza się do reakcji na pojedyncze zdarzenie. Obejmuje również szerszą ocenę sytuacji oraz działania nastawione na zapobieganie ponownemu wystąpieniu podobnych problemów. Istotne jest zarówno rozpoznanie, co się wydarzyło, jak i ustalenie, czy dane zdarzenie łączy się z innymi incydentami oraz jakie były jego przyczyny.

W praktyce pojęcie służy uporządkowaniu procesu postępowania z incydentami w ramach krajowego systemu cyberbezpieczeństwa. Pozwala patrzeć na incydent jako na źródło informacji, które po właściwej analizie może pomóc w usunięciu przyczyn zagrożenia i wypracowaniu wniosków przydatnych przy obsłudze kolejnych zdarzeń. W tym znaczeniu zarządzanie incydentem łączy bieżącą reakcję, analizę oraz uczenie się na podstawie przeprowadzonych działań.