Para lidar com incidentes, a tua organização deve estabelecer procedimentos claros para os tratar e, para apoiar o tratamento de incidentes, deve também implementar o registo e a monitorização de irregularidades na rede e nos sistemas de informação, para que os incidentes possam ser detectados em primeiro lugar. Os dados de registo devem também ser protegidos contra a manipulação e o acesso não autorizado, para garantir a integridade desses dados.

Tratamento de incidentes

A tua organização deve certificar-se de que pode lidar com incidentes para garantir que a organização pode reagir de forma adequada quando ocorrem incidentes. O objetivo desta medida de segurança é reduzir os danos causados à rede e aos sistemas de informação e aos serviços críticos, para que o impacto do incidente seja o mais baixo possível. Após a ocorrência de um incidente, a tua organização deve ser capaz de repor as suas operações normais.

Requisitos

O tratamento adequado de incidentes exige que a tua organização prepare e aplique procedimentos de contingência que permitam identificar, detetar, analisar e responder a incidentes. Estes procedimentos devem também apoiar a recuperação de operações seguras e estáveis, bem como garantir que a sua organização pode cumprir as suas obrigações de comunicação à equipa nacional de resposta a incidentes de segurança informática (CSIRT) em caso de incidentes graves.

A tua organização deve dispor das competências necessárias, quer internamente quer através de acordos com terceiros, para garantir que os incidentes podem ser tratados adequadamente.

Para apoiar esta capacidade, a tua organização deve também

• definir funções, responsabilidades e procedimentos para prevenir, detetar, analisar, conter, responder, recuperar, documentar e comunicar incidentes graves o mais rapidamente possível. Isto também pode incluir planos de comunicação para sistemas de comunicação interna e externa e de comunicação de emergência.
• ter um procedimento que permita aos empregados, fornecedores e clientes comunicar internamente incidentes suspeitos de uma forma simples e acessível, para que não existam barreiras à sua utilização.
• responde a incidentes de forma atempada e em conformidade com os procedimentos de tratamento de incidentes da organização.
• efectua uma análise após um incidente grave para identificar a causa principal e retirar ensinamentos que possam reduzir o risco e o impacto de incidentes semelhantes no futuro.

A tua organização deve também testar os seus procedimentos de resposta a incidentes a intervalos planeados para garantir que funcionam como previsto.

Documentação

A conformidade com os requisitos de tratamento de incidentes pode ser documentada através de um procedimento, que deve ser atualizado a intervalos planeados e sempre que se verifiquem alterações significativas nos objectivos comerciais da organização ou no seu panorama de ameaças. Os procedimentos devem ser documentados e aprovados pela direção relevante.

Registo e monitorização

O objetivo do registo e da monitorização é garantir que a sua organização consegue detetar incidentes que possam pôr os dados em risco e responder adequadamente, de modo a reduzir ao máximo os efeitos negativos do incidente. Os registos também são utilizados para investigar os incidentes posteriormente.

Requisitos

A tua organização tem de tratar e utilizar ferramentas para monitorizar, registar e responder a actividades nas tuas redes e sistemas de informação. Sem isso, não poderás detetar e responder a potenciais incidentes.

Idealmente, a monitorização deve ser automatizada e, dependendo das capacidades da tua organização, deve ser efectuada em tempo real ou a intervalos regulares.

A tua organização deve manter, documentar e rever os ficheiros de registo, mas a tua abordagem específica pode depender do nível tecnológico da tua organização e de uma abordagem baseada no risco. Os teus registos podem incluir o seguinte:

• Recebe e envia tráfego de rede,
• criação, modificação ou eliminação de utilizadores e alterações de permissões,
• acesso a sistemas e aplicações,
• acesso privilegiado a sistemas e aplicações,
• actividades realizadas por contas privilegiadas,
• acesso e alterações em ficheiros críticos de configuração e de cópia de segurança,
• registos de eventos e registos de ferramentas de segurança, como antivírus, sistemas de deteção de intrusão ou firewalls,
• utiliza e desempenha os recursos do sistema,
• acesso e utilização do equipamento e componentes da rede da organização,
• acesso físico às instalações da organização, tais como sistemas de controlo de acesso,
• eventos ambientais que possam afetar negativamente as redes e os sistemas de informação da organização, tais como alarmes de inundação.

Os ficheiros de registo podem ser analisados manual ou automaticamente para detetar padrões invulgares ou indesejados. Por este motivo, a organização deve definir limiares para a tomada de medidas e, se estes limiares forem ultrapassados, o sistema pode acionar automaticamente um alerta. O pessoal responsável deve assegurar que seja dada uma resposta adequada.

A tua organização deve armazenar e fazer cópias de segurança dos ficheiros de registo durante um período predefinido, em função do teu perfil de risco, e estes dados de registo devem ser protegidos contra a manipulação e o acesso não autorizado.

As tuas medidas devem ser capazes de detetar ataques baseados na rede, tais como padrões de tráfego anormais ou ataques distribuídos de negação de serviço.

Os teus sistemas devem ser sincronizados para utilizarem as mesmas fontes de tempo, de modo a que os registos de diferentes sistemas possam ser comparados durante a investigação de incidentes.

Por último, deves manter uma lista de todos os activos que são registados. Os sistemas utilizados para a monitorização e o registo podem ser duplicados para garantir a segurança e a continuidade dos serviços prestados. A cibersegurança dos sistemas de monitorização e registo também deve ser monitorizada, e deve ser feita independentemente dos sistemas que monitorizam.

Documentação

Deves rever os procedimentos de registo e monitorização a intervalos planeados e quando ocorrem alterações. O mesmo se aplica à tua lista de activos ou eventos a registar. Todos os procedimentos devem ser revistos a intervalos planeados e sempre que ocorram alterações, e a documentação deve ser mantida para mostrar que estas revisões têm lugar nas alturas programadas.