SEC10-BP02 制定事件管理計畫
為事件應變制定的第一份文件是事件應變計畫。事件應變計畫應是您事件應變計畫和策略的基礎。
建立此最佳實務的優勢: 開發全面且明確定義的事件應變程序,是成功且可擴展的事件應變計畫的關鍵。當安全事件發生時,明確的步驟和工作流程可協助您及時因應。您可能已具備現有的事件應變程序。無論您目前的狀態為何,都必須定期更新、重複執行和測試事件應變程序。
未建立此最佳實務時的曝險等級: 高
實作指引
事件管理計畫對於回應、減輕安全事件所造成潛在影響並從中復原而言至關重要。事件管理計畫是結構清晰的程序,可及時找出、修復和回應安全事件。
雲端有許多在內部部署環境中所見的相同營運角色和需求。建立事件管理計畫時,您必須將與業務成果和合規需求最相符的應變及復原策略納入考量。例如,如果您在 AWS 中運作的工作負載符合美國的 FedRAMP,那麼遵循 NIST SP 800-61 電腦安全處理指南便很有用
為在 AWS 中的工作負載建立事件管理計畫時,請從 AWS 共同的責任模型
有效的事件管理計畫必須經過持續的反覆測試,以與您的雲端營運目標保持同步。在您建立和制定事件管理計畫時,請考慮使用以下詳述的實作計畫。
實作步驟
定義角色和責任
處理安全事件時,需要跨組織的紀律和採取行動的傾向。在事件發生期間,您的組織結構中應該有不同的人員在事件期間負責、當責、備詢及保持通訊,例如人力資源部 (HR)、行政團隊和法務部的代表。請考量這些角色和責任,以及是否必須涉及任何第三方。請注意,許多地區都有當地法律會管理合法和不合法的事務。儘管為您的安全應變計畫建置負責、當責、備詢及通訊 (RACI) 圖表似乎很形式化,但這麼做可以促進快速直接的溝通,並清楚地概述活動不同階段的領導層。
在事件發生時,納入受影響的應用程式和資源的擁有者及開發人員是非常重要的,因為他們是主題專家 (SME),可以提供資訊和背景資訊以協助衡量影響性。在您仰賴開發人員和應用程式擁有者的專業知識進行事件應變之前,請務必先與他們建立關係。應用程式擁有者或 SME (例如您的雲端管理員或工程師) 可能需要在環境不同於前或複雜,或是應變人員無法存取的情況下採取行動。
最後,值得信賴的合作夥伴可能會參與調查或回應,因為他們可以提供額外的專業知識和有價值的審視。若您自己的團隊沒有這些技能,您可能需要對外招聘以尋求幫助。
了解 AWS 應變團隊和支援
-
AWS Support
-
AWS Support
提供一系列的計畫,可讓您存取工具和專業知識,以支援 AWS 解決方案的成功和運作狀態。如果您需要技術支援和更多資源以利規劃、部署和優化 AWS 環境,您可以選取最符合您 AWS 使用案例的支援計畫。 -
考慮以 支援中心
(位於 AWS Management Console,需要登入) 作為中心聯絡窗口,以取得影響 AWS 資源的問題所需的支援。對 AWS Support 的存取由 AWS Identity and Access Management 所控制。如需取得 AWS Support 功能存取權的詳細資訊,請參閱 AWS Support 入門。
-
-
AWS 客戶事件應變團隊 (CIRT)
-
AWS 客戶事件應變團隊 (CIRT) 是一個專門的全天候全球 AWS 團隊,在客戶端的有效安全事件期間為客戶提供支援 - AWS 共同的責任模型
。 -
當 AWS CIRT 支援您時,他們會為 AWS 上的有效安全事件提供分類和復原方面的協助。他們可透過使用 AWS 服務日誌協助進行根本原因分析,並為您提供復原的建議。他們也可提供安全建議和最佳實務,以協助您避免事後發生安全事件。
-
AWS 客戶可透過以下途徑洽詢 AWS CIRT: AWS Support 案例。
-
-
DDoS 應變支援
-
AWS 提供 AWS Shield
,其中包含受管的分散式拒絕服務 (DDoS) 保護服務,可為執行於 AWS 的 Web 應用程式提供保護。Shield 提供一律開啟的偵測和自動內嵌緩解措施,可將應用程式停機時間和延遲降至最低,讓您無須聯絡 AWS Support 即可享有 DDoS 保護。Shield 有兩個層級:AWS Shield Standard 和 AWS Shield Advanced。若要了解這兩個層級的差異,請參閱 Shield 功能文件 。
-
-
AWS Managed Services (AMS)
-
AWS Managed Services (AMS)
可讓您持續管理 AWS 基礎設施,讓您專注在自己的應用程式上。實作最佳實務以維護您的基礎設施,AMS 有助於降低營運開銷和風險。AMS 會自動執行常見的活動,例如,變更請求、監控、修補程式管理、安全性和備份服務,而且提供佈建、執行和支援基礎設施的完整生命週期服務。 -
AMS 負責部署安全偵測控制套件,並提供全年無休的第一線提醒應變措施。提醒啟動時,AMS 會依照一組標準的自動化和手動程序手冊來驗證回應的一致性。這些程序手冊會在上線期間與 AMS 客戶共享,讓他們能夠透過 AMS 來制定和協調應變措施。
-
制定事件應變計畫
事件應變計畫應是您事件應變計畫和策略的基礎。事件應變計畫應納入正式文件中。事件應變計畫通常包含下列章節:
-
事件應變團隊概觀: 概述事件應變團隊的目標和職能。
-
角色和責任: 列出事件應變利害關係人,並詳細說明他們在事件發生時的角色。
-
通訊計畫: 詳細說明聯絡資訊,以及您在事件期間要如何進行通訊。
-
備份通訊方式: 最佳實務是將頻外通訊作為事件通訊的備用方法。舉例來說,AWS Wickr 就是提供安全頻外通訊通道的應用程式。
-
事件應變的階段和應採取的行動: 列舉事件應變的階段 (例如偵測、分析、消除、抑制及復原),包括要在這些階段中採取的高階動作。
-
事件嚴重性和優先順序定義: 詳細說明如何分類事件的嚴重性、如何排定事件的優先順序,以及嚴重性定義對於呈報程序有何影響。
儘管不同規模和產業的公司都會有這些章節,但每個組織的事件應變計畫都是獨一無二的。您必須建立最適合貴組織的事件應變計畫。
資源
相關的最佳實務:
相關文件: