CyberGlossary

Криминалистика и реагирование

План реагирования на инциденты

Также известно как: IRP, План реагирования на киберинциденты

Определение

Утверждённый документ, описывающий, как организация готовится, обнаруживает, сдерживает, ликвидирует, восстанавливается и извлекает уроки из киберинцидентов.

План реагирования на инциденты (IRP) переводит стратегию в операционные шаги. В нём закреплены роли (инцидент-командир, лидер коммуникаций, юридический контакт), уровни серьёзности, маршруты эскалации, шаблоны коммуникаций, порядок обращения с доказательствами и внешние контакты (правоохранительные органы, регуляторы, ретейнеры). Большинство IRP следуют жизненному циклу NIST SP 800-61 и содержат плейбуки для типовых сценариев (шифровальщики, BEC, утечка данных, внутренние угрозы). План должен проходить настольные и боевые учения, обновляться после каждого инцидента и быть доступен офлайн на случай массового сбоя. GDPR, HIPAA, NIS2 требуют задокументированной IR-функции.

Примеры

  • Плейбук по шифровальщикам запускает изоляцию, заморозку коммуникаций и ретейнер менее чем за 30 минут.
  • Маршрут уведомления о нарушении персональных данных под руководством DPO в пределах 72 часов GDPR.

Связанные термины