Fázový model reakce na incident
Šest fází, kterými prochází zvládnutí bezpečnostního incidentu od přípravy po ponaučení.
Osvědčený model (vycházející z NIST SP 800-61) rozděluje reakci na incident do fází: příprava, detekce a analýza, zadržení, odstranění, obnova a ponaučení. Model funguje jak pro velké SOC týmy, tak ve zjednodušené podobě pro malé IT oddělení.
Klíčové je mít připravené kontakty, role a playbooky ještě před incidentem – improvizace v akutní fázi stojí čas a peníze. Poslední fáze, ponaučení, se často zanedbává, přitom právě ona zabraňuje opakování stejné chyby.
Fáze reakce na bezpečnostní incident
| Fáze | Cíl | Typické činnosti |
|---|---|---|
| Příprava | mít nástroje, role a postupy předem | kontakty, playbooky, zálohy, školení, přístupy |
| Detekce a analýza | rozpoznat a potvrdit incident | monitoring, SIEM, hlášení od uživatelů, první triage |
| Zadržení (containment) | zastavit šíření škody | izolace zařízení, blokace účtů, segmentace sítě |
| Odstranění (eradication) | odstranit příčinu | odstranění malwaru, uzavření zranitelnosti, změna hesel |
| Obnova (recovery) | vrátit systémy do provozu | obnova ze zálohy, ověření integrity, postupné zapojení |
| Ponaučení (lessons learned) | zlepšit budoucí reakci | zpětné vyhodnocení, aktualizace playbooků, report vedení |
Model vychází z doporučení NIST SP 800-61 a je přizpůsobitelný i menším firmám.
Související pojmy
- Reakce na incident
Co dělat po napadení: izolovat, zjistit rozsah, obnovit ze záloh, nahlásit.
- Zpětné vyhodnocení incidentu (post-incident review)
Rozbor incidentu po jeho uzavření s cílem zlepšit budoucí reakci.
- Tabletop exercise (cvičná simulace incidentu)
Diskusní cvičení, při kterém tým řeší fiktivní incident bez reálného dopadu na provoz.
Podobné pojmy
Výrazy z jiných kategorií, které s tématem „Fázový model reakce na incident“ souvisí.
- Runbook (obnovovací postup)Zálohování a cloud
Podrobný písemný postup kroků pro obnovu systému nebo reakci na incident.
Předplatné model licencování grafického a video software Adobe.
- AI a ochrana osobních údajůAI a automatizace v IT
Kam data putují, jak dlouho se drží a zda se na nich model učí.
- Antivirus vs. EDR vs. XDRSoftware
Tři úrovně ochrany koncových zařízení s rostoucí schopností detekce a reakce.
- BYOL – Bring Your Own LicenseCloud, Microsoft 365 a Workspace
Model, kdy si firma do cloudu přináší vlastní zakoupenou licenci software.
- Forenzní analýzaLegislativa a compliance
Vyšetření incidentu za účelem zjištění příčiny, rozsahu a důkazů.
- Lokální jazykový modelAI a automatizace v IT
AI běžící na vlastním serveru bez posílání dat do cloudu.
- Purdue modelPrůmysl a IoT sítě
Vrstvení průmyslové sítě od senzorů po podnikové IT.
Další z kategorie Bezpečnost
Potřebujete s tím pomoct?
Řešíme bezpečnost v praxi – od návrhu a měření až po realizaci a následnou správu.