Incidenthanteringsplan: mall för småföretag
CyberLord-teamet Författarprofil
En incident börjar sällan med ett larm. Den börjar med att någon ringer och säger att det ser konstigt ut. Om svaret är »vem pratar jag med?« har ni redan förlorat den första timmen, och den går inte att få tillbaka.
En incidenthanteringsplan är inte ett dokument för myndigheter. Den är en lista över vem som gör vad, i vilken ordning, med vilka telefonnummer, när ingen hinner tänka efter. Här är mallen vi utgår från: roller, allvarlighetsgrader, de första sextio minuterna och det som avgör hur ärendet slutar.
Varför en skriven plan slår improvisation
Ni kommer att improvisera ändå, och det är meningen – en plan ersätter inte omdöme. Men improvisation under stress har två svagheter: den hoppar över bevisinsamling och den glömmer kommunikationen. Den som stoppar ett utbrott och startar om servern utan att spara minnesbild, tidslinje och loggar har löst problemet och förstört underlaget för att förstå det.
Den andra svagheten är att alla tror att någon annan redan har ringt: telefonkedjan ska vara nedskriven, med namn, roll, nummer och i vilken ordning samtalen ska ske. Vår genomgång av tio tecken på att ett företag är komprometterat är skriven för att läsas av en icke-teknisk person.
Det lagen kräver – och det försäkringen frågar efter
GDPR artikel 33 kräver att en personuppgiftsincident anmäls till IMY inom 72 timmar från att ni fick kännedom om den, och till de registrerade utan dröjsmål om risken är hög. Klockan startar inte när omfattningen är bekräftad, utan när ni hade skälig anledning att tro att något inträffat. Därför behövs en rutin för den bedömningen tidigt och en namngiven person som ansvarar för anmälan.
NIS2 ställer krav på incidenthantering och rapportering för verksamheter i vissa samhällsviktiga sektorer, och hanterar ni kortuppgifter tillkommer PCI DSS. Är ni osäkra på vad som gäller er, skriv frågan i planen med namnet på den som svarar – ett tomt fält är sämre än en fråga med ägare.
Rollerna: fem funktioner, inte fem personer
I ett litet företag har två eller tre personer flera av rollerna, och det ska stå utskrivet vem som tar över när någon är på semester.
Incidentledare. Beslutar, håller tidslinjen och säger nej till dåliga idéer. Måste ha mandat att stänga av system.
Teknisk utredare. Avgränsar, säkrar bevis och genomför motåtgärder.
Kommunikatör. En röst utåt mot kunder, personal och myndigheter. Ingen annan uttalar sig.
Dataskyddsansvarig. Gör GDPR-bedömningen och har kontakt med IMY och försäkringsbolag.
Dokumentatör. Skriver tidsstämplar i en kanal utanför det drabbade systemet.
Skriv ut en papperslista med namn och nummer och förvara den utanför datorn. Det låter gammaldags och är det enda som fungerar när e-posten ligger nere. Listan ska också ha IT-leverantören, försäkringsbolaget, banken och en reservkanal.
Allvarlighetsgrader som går att använda klockan tre på natten
Fyra nivåer, definierade efter effekt i verksamheten snarare än teknik.
- SEV1. Verksamheten står still eller kunddata är bekräftat röjd. Incidentledaren väcker folk, alla fem funktioner aktiveras och kundkommunikation förbereds.
- SEV2. Begränsad påverkan på ett system eller en grupp användare, ingen bekräftad dataexponering.
- SEV3. Misstänkt men inte bekräftat, eller påverkan på en enskild person.
- SEV4. Avvikelse utan påverkan, hanteras i vanlig ärendehantering.
Hellre uppgradera än nedgradera. Varje nivå ska ha en tidsgräns för första återkoppling: femton minuter för SEV1, en timme för SEV2.
De första 60 minuterna
0–10 minuter: stoppa spridningen utan att förstöra bevis. Koppla ur nätverkskabeln, isolera enheten via slutpunktsskyddet eller inaktivera kontot. Stäng inte av datorn – minnesbild och loggar försvinner vid omstart.
10–20 minuter: larma. Incidentledaren öppnar en separat kanal utanför det drabbade systemet, kallar in rätt funktioner och sätter SEV-nivå.
20–30 minuter: grov omfattning. Vilka konton, vilka system, vilken data och har något lämnat huset? Hellre ungefär än inte alls.
30–45 minuter: stäng dörrarna. Byt lösenord och ogiltigförklara sessioner för berörda konton, kräv ny MFA-registrering om token kan vara komprometterad och granska e-postregler: vidarebefordran, dolda inkorgsregler och nya OAuth-tillstånd.
45–60 minuter: första GDPR-bedömning. Rör det personuppgifter, och hur allvarlig är risken? Besluta om IMY-rutinen ska startas och ge kommunikatören ett utkast.
Under den första timmen ska ni inte betala, förhandla, kontakta angriparen, installera om datorn eller radera e-post. Fyra handlingar som känns som åtgärder och förstör utredningen.
Efter första timmen: avgränsa, utrota, återställ
Avgränsa. Kartlägg vägen in och vad angriparen lämnat efter sig: nya konton, appbehörigheter, schemalagda jobb, e-postregler och inblandade enheter. Det är den persistens som gör att incidenten kommer tillbaka.
Utrota. Bygg om hellre än städa. Återställ från en källa ni vet är god och verifiera med loggar att inget finns kvar.
Återställ. Successiv återgång, extra bevakning i två veckor och kontroll att avvikelserna är borta. Vid utpressningsprogram är testade, offline säkerhetskopior hela skillnaden; hur åtkomsten ofta går till beskrivs i vår artikel om Ransomware-as-a-Service.
Kommunikation: fyra mottagare, fyra budskap
Personal. Vad de ska göra, vad de inte ska göra och när nästa besked kommer. Samma dag, även om beskedet är att ni inte vet ännu.
Kunder. Vad som hänt, vad det betyder för dem och vad ni gjort – utan att spekulera i orsak.
Myndigheter. IMY vid personuppgiftsincident, polisanmälan vid misstänkt brott och tillsynsmyndighet om NIS2 gäller er.
Försäkringsbolag. Anmäl tidigt; tidsfristen är ofta kortare än man tror.
Skriv mallarna i fredstid. Varje mening som formuleras under press blir sämre än den som skrevs i lugn och ro.
Bevis och loggar
Det som avgör efteråt är vad ni kan visa. Spara tidslinje med tidsstämplar och tidszon, skärmbilder, exporter av e-postregler och inloggningsloggar, samt beslut och vem som fattade dem. Sätt hashvärden på bevismaterialet om det ska användas av polis eller försäkringsbolag.
Loggar har retentionstider som ofta är kortare än en utredning behöver. Kontrollera inställningarna i förväg – vår checklista för Microsoft 365-säkerhet går igenom loggning och larm i samma ordning som en utredare skulle fråga.
Öva planen två gånger per år
En timme, två gånger per år, med papper och telefon. Välj ett scenario och gå igenom frågorna i tur och ordning. Skriv upp var planen inte svarar, uppdatera med datum och version.
Övningen är det underlag en revisor helst ser, och den billigaste chansen att upptäcka att två av fem roller sitter hos samma person. Rollerna ska dessutom hänga ihop med policyerna för acceptabel användning och lösenord, annars beskriver planen en organisation som inte finns.
Vanliga frågor
Måste ett litet företag ha en incidenthanteringsplan? Det finns inget generellt krav på ett dokument med den etiketten, men GDPR kräver att ni kan hantera personuppgiftsincidenter, och NIS2 ställer krav för verksamheter i vissa sektorer. I praktiken är kravet indirekt: utan plan hålls tidsfristen bara av tur.
Vad ska hända de första 60 minuterna? Stoppa spridningen utan att förstöra bevis, larma rätt personer, sätta allvarlighetsgrad, grovt fastställa omfattning, stänga berörda konton och sessioner samt göra en första GDPR-bedömning. Betala inte och installera inte om något under den första timmen.
Ska vi betala lösensumman? Vi avråder. Betalning är ingen garanti för att nycklarna fungerar, den finansierar vidare brottslighet och kan krocka med sanktionsregler. Prioritera testade säkerhetskopior, återuppbyggnad och anmälan till polis och försäkringsbolag.
Hur snabbt måste vi anmäla till IMY? Inom 72 timmar från att ni fick kännedom om incidenten. Har ni inte hela bilden då ska ni anmäla det ni vet och komplettera i efterhand. Skriv in rutin, ansvarig person och kontaktväg i planen i förväg.
Hur ofta ska planen övas och uppdateras? Öva två gånger per år och uppdatera efter varje övning och varje incident. Kontrollera samtidigt telefonnummer, roller och leverantörskontakter – de föråldras snabbast.
Vill ni att vi går igenom er nuvarande plan eller tar fram en tillsammans med er? Prata med teamet för en genomgång av roller, tidslinje och kontaktlistor innan ni behöver dem.