Beredskabsaftale om forensisk sikring

En beredskabsaftale er en fast aftale mellem jeres organisation og Nielco IT om, at forarbejdet til en uvildig sikring er gjort, før der sker noget. Når hændelsen kommer, er konflikttjekket klaret, kontaktvejen kendt, systemerne beskrevet og fjernadgangen forberedt. Tiden fra opkald til første eksport går derfor til sikring og ikke til at forklare miljøet.

Aftalen er tænkt til IT-afdelinger, MSP’er, der vil kunne tilbyde deres kunder en uvildig sikring, og SOC-teams, der arbejder i miljøer, hvor en hændelse kan ende i en tvist med en leverandør, en tidligere medarbejder eller et forsikringsselskab.

Hvad aftalen indeholder

• Konflikttjek på forhånd. Organisationen, koncernselskaber og faste leverandører tjekkes, når aftalen indgås. Ved en hændelse tjekkes kun de nye navne: berørte personer og en eventuel modpart. → Uvildighed og bindinger
• Et fast kontaktpunkt. I aftaler, hvem hos jer der må aktivere aftalen, og hvilket nummer og hvilken adresse der bruges. Den sagkyndige ved, hvem der har mandat til at beslutte sikring, og hvem der kun leverer adgang.
• Kendskab til jeres systemer og logkilder. Platforme, tenants, hypervisorer, EDR, firewall, VPN og centrale SaaS-systemer beskrives én gang, sammen med de opbevaringstider, I faktisk har sat op. → Skabelon: teknisk datakort
• Forberedt fjernadgang. Rollerne for en ekstern sagkyndig er defineret, men står deaktiveret eller uden tildeling, til de skal bruges. Uploadkanal og krypteringsmetode til beviskopier er aftalt. → Fjernsikring: det IT stiller op
• Kendt rækkefølge. Der ligger en kort plan for de første timer: hvad jeres egne folk gør, hvad der ikke røres, og hvordan handlingsloggen føres. → Skabelon: handlingslog

Efter aftale kan der også indgå en årlig gennemgang af logning og opbevaring: er auditlogs slået til, dækker opbevaringstiderne det tidsrum, en sag typisk spørger til, og er der kommet nye systemer til, siden datakortet blev skrevet? Gennemgangen er en teknisk vurdering af, om data vil findes, når der er brug for dem. Den er ikke en sikkerhedsrevision.

Hvad aftalen ikke er

• Ikke en garanti for fremmøde inden for en bestemt tid. Aftalen fjerner forsinkelser, men den lover ikke, at sikringen begynder samme dag. Det sker, når det praktisk kan nås.
• Ikke incident response. Nielco IT stopper ikke angreb, genopretter ikke systemer og overtager ikke driften. Aftalen dækker den uvildige sikring ved siden af jeres eget eller jeres leverandørs IR-arbejde. → Samarbejde med jeres IR-leverandør
• Ikke overvågning. Der installeres ingen agenter, og den sagkyndige har ingen adgang til jeres miljø, før I selv aktiverer den.

Flere lokationer og store hændelser

Rammer en hændelse flere steder på én gang, eller er datamængden stor, kobles flere konsulenter på opgaven. De arbejder som IT-sagkyndige under Nielco IT. Det er den samme metode, den samme dokumentation og et samlet ansvar over for jer. I aftalen kan det beskrives, hvilke lokationer der typisk vil være i spil, så fordelingen kan ske hurtigt.

Hvad I selv skal gøre

En beredskabsaftale virker kun, hvis jeres side af den holdes ved lige:

• ☐ Opdatér datakortet, når der kommer nye systemer eller ændrede opbevaringstider.
• ☐ Hold kontaktlisten aktuel, også ved ferie og vagtskifte.
• ☐ Afprøv, at de forberedte roller kan aktiveres, og at aktiveringen bliver logget.
• ☐ Sørg for, at vagten kender den første plan og ved, at maskiner ikke geninstalleres, før der er taget stilling til sikring. → Sluk, isolér eller lad den køre?

For en MSP gælder det desuden, at det skal stå klart, hvem der er opdragsgiver, når aftalen bruges til en kundes hændelse. → Når MSP’en henvender sig på kundens vegne

Hvem står klar

Bag aftalen står John Nielsen, ejer af Nielco IT og selvstændig fra 2009. John har over tre årtier i IT-sikkerhed, blandt andet i finanssektoren, hos offentlige myndigheder og i kritisk infrastruktur, og har været IT-sagkyndig ved danske retter og ved UPC, Den Fælles Europæiske Patentdomstol. John har indsigt i og erfaring med incident response og hackerangreb og kan derfor arbejde ved siden af jeres IR-team uden at forstyrre det. Nielco IT ligger i Hinnerup tæt ved Aarhus og løser opgaver i hele landet.

Pris og fortrolighed

Der står ingen beløb her. Aftalens omfang afhænger af antallet af miljøer og lokationer, og om den årlige gennemgang skal med. Hastesager koster ekstra; se pris og tilbud på nielcoit.dk.

Oplysningerne i datakortet og alt, der kommer frem under en sag, holdes fortroligt under den tavshedspligt, der følger med IT-sagkyndigt arbejde. Kun domstolene kan kræve dem udleveret. En NDA kan underskrives sammen med aftalen.

Aftalen bruges i civile sager og interne undersøgelser og i tvister, der afgøres uden for retten. Grænserne står i afgrænsningen.

Vil I have en beredskabsaftale beskrevet for jeres miljø, så ring på 70 13 63 23, eller skriv via kontaktsiden.