Einfach erklärt: Incident Response
Vor der Ausarbeitung eines Incident-Response-Plans ist es wichtig, den Begriff „Incident“ zu verstehen. In der IT gibt es drei Begriffe, die zwar gelegentlich synonym verwendet werden, aber unterschiedliche Bedeutungen haben:
- Ein Ereignis ist eine harmlose, aber häufige Aktion wie das Erstellen einer Datei, das Löschen eines Ordners oder das Öffnen einer E-Mail. Ein einzelnes Ereignis deutet nicht unbedingt auf eine Sicherheitsverletzung hin, aber zusammen mit anderen Ereignissen kann es eine Bedrohung darstellen.
- Eine Warnung ist eine Benachrichtigung, die durch ein Ereignis ausgelöst wird, und kann (muss aber keine) Bedrohung darstellen.
- Ein Incident entspricht einer Reihe korrelierter Warnungen, die von Menschen oder Automatisierungstools als echte Bedrohung eingestuft wurden. Eine einzelne Warnung mag nicht besonders bedrohlich erscheinen, aber in Kombination mit anderen Warnungen weist sie auf eine mögliche Sicherheitsverletzung hin.
Incident Response beschreibt die Maßnahmen, die ein Unternehmen bei einem mutmaßlichen Verstoß gegen IT-Systeme oder Daten ergreift. Sicherheitsverantwortliche werden beispielsweise tätig, wenn sie Hinweise auf unbefugte Benutzer, Schadsoftware oder unzureichende Sicherheitsmaßnahmen erkennen.
Eine solche Reaktion hat den Zweck, einen Cyberangriff schnellstmöglich abzuwehren, Daten wiederherzustellen, Kunden oder Behörden gemäß nationalen Gesetzen zu benachrichtigen und herauszufinden, wie sich das Risiko einer ähnlichen Sicherheitsverletzung künftig verringern lässt.
Microsoft Security folgen