Incident-Response-Plan (IRP)

Was ist ein Incident-Response-Plan?

Ein Incident Response Plan (IRP) ist ein strukturiertes Dokument, das die Verfahren, Verantwortlichkeiten und Prozesse festlegt, die eine Organisation befolgen muss, um Cybersicherheitsvorfälle zu erkennen, darauf zu reagieren und sich davon zu erholen.

Wesentliche Bestandteile eines IRP

1. Richtlinie und Ziele

  • Festlegung von Geltungsbereich und Zielen des Plans
  • Klassifizierung von Vorfällen nach Schweregrad
  • Commitment-Erklärung der Führungsebene
  • Anwendbare Frameworks und Vorschriften (NIST, ISO 27035, LGPD)

2. Teamstruktur (CSIRT)

  • Incident Response Manager: Koordiniert die gesamte Reaktion
  • Security Analysts: Technische und forensische Analyse
  • IT Operations: Eindämmung und Wiederherstellung von Systemen
  • Communications Lead: Stakeholder und Medien
  • Legal/Compliance: Rechtliche und regulatorische Aspekte

3. Phasen des Prozesses

  • Vorbereitung: Schulung, Werkzeuge und Verfahren
  • Erkennung und Analyse: Identifizierung und Klassifizierung
  • Eindämmung: Begrenzung der Auswirkungen des Vorfalls
  • Beseitigung: Entfernung der Grundursache
  • Wiederherstellung: Wiederherstellung von Systemen und Diensten
  • Lessons Learned: Post-Mortem und kontinuierliche Verbesserung

Response-Playbooks

Spezifische Playbooks für verschiedene Arten von Vorfällen:

  • Ransomware und Malware
  • Phishing und Social Engineering
  • Datenleck (LGPD)
  • DDoS-Angriffe
  • Kompromittierung von Zugangsdaten
  • Insider Threats
  • Kritische Schwachstellen (Zero-Day)

Werkzeuge und Technologien

  • SIEM: Splunk, IBM QRadar, Microsoft Sentinel
  • EDR/XDR: CrowdStrike, SentinelOne, Microsoft Defender
  • Ticketing: ServiceNow, Jira, TheHive
  • Kommunikation: Slack, Microsoft Teams (dedizierte Kanäle)
  • Forensics: Autopsy, EnCase, FTK, Volatility
  • Threat Intelligence: MISP, ThreatConnect, Recorded Future

Kommunikation und Eskalation

Kommunikationsmatrix, die festlegt, wann und wie informiert wird:

  • Intern: C-Level, Mitarbeitende, betroffene Bereiche
  • Extern: Kunden, Partner, Lieferanten
  • Aufsichtsbehörden: ANPD, CVM, BACEN (sofern zutreffend)
  • Medien: Pressestelle
  • Behörden: Bundespolizei, CERT.br

Metriken und KPIs

  • MTTD (Mean Time to Detect): Durchschnittliche Zeit bis zur Erkennung
  • MTTR (Mean Time to Respond): Durchschnittliche Zeit bis zur Reaktion
  • MTTC (Mean Time to Contain): Durchschnittliche Zeit bis zur Eindämmung
  • MTTR (Mean Time to Recover): Durchschnittliche Zeit bis zur Wiederherstellung
  • Anzahl der Vorfälle nach Kategorie und Schweregrad
  • Finanzielle und betriebliche Auswirkungen

LGPD-Konformität

Der IRP muss mit den Anforderungen des brasilianischen allgemeinen Datenschutzgesetzes übereinstimmen:

  • Meldung an die ANPD innerhalb von 2 Werktagen (bei relevanten Vorfällen)
  • Benachrichtigung der betroffenen Personen
  • Detaillierte Dokumentation des Vorfalls und der ergriffenen Maßnahmen
  • Datenschutz-Folgenabschätzung (RIPD)

Tests und Simulationen

Der IRP muss regelmäßig getestet werden, durch:

  • Tabletop Exercises: Theoretische Diskussionen von Szenarien
  • Walk-throughs: Schrittweise Durchsicht der Verfahren
  • Simulationen: Praktische Übungen in einer kontrollierten Umgebung
  • Red Team/Purple Team: Penetrationstests mit echter Reaktion

Abschließende Empfehlungen

  • [OK] Vierteljährliche Überprüfung und Aktualisierung des IRP
  • [OK] Kontinuierliche Schulung des Response-Teams
  • [OK] Runbooks aktuell und zugänglich halten
  • [OK] Alle Vorfälle dokumentieren, auch geringfügige
  • [OK] Beziehungen zu Behörden aufbauen, bevor sie benötigt werden
  • [OK] Notfallkontakte rund um die Uhr (24/7) stets verfügbar halten
  • [OK] Offline- und getestete Backups vorhalten
  • [OK] Den IRP mit den BCP- und DRP-Plänen integrieren