The CIO's guide to information security incident management

Cover......Page 1
Frontispiece......Page 2
Half Title......Page 4
Title Page......Page 6
Copyright Page......Page 7
Dedication......Page 8
Contents......Page 10
Introduction......Page 18
Authors......Page 22
 Introduction......Page 26
 Is It an “Information Security Incident”?......Page 27
 The Meeting......Page 28
   Impacts......Page 29
   Authority......Page 30
   Capabilities......Page 31
  Second Steps - Activities......Page 32
  Third Steps - Reporting......Page 33
 Thinking More Deeply about Goals......Page 34
  How Critical to the Business Is Restoration of Service?......Page 35
  Immediate Concerns......Page 36
 Ongoing Management......Page 37
  Management Meeting......Page 38
 Management, Colleagues, Media and Customers......Page 39
  The Public: Media and Customers......Page 40
 What Next?......Page 41
 Introduction......Page 42
  Reverting (or Formalising) Changes......Page 43
 Formalising the Future......Page 44
 Introduction......Page 46
 Amber Inc.......Page 47
 Jade Ltd.......Page 48
 Introduction......Page 50
 Defining an Incident......Page 51
 Grading Incidents......Page 53
 Legal and Regulatory Meanings of “Incident”......Page 54
  Jade Ltd.......Page 55
 Further Reading......Page 56
 Introduction......Page 58
 The Basics......Page 59
 Notification......Page 60
 Assessment......Page 62
 Investigation......Page 65
  Pre-Recovery Checks......Page 66
 Closure......Page 67
 Post-Incident Review......Page 68
  Amber Inc.......Page 69
  Jade Ltd.......Page 70
 Introduction......Page 72
 Flowchart......Page 73
  Simple Schema......Page 74
  Privacy and Investigations......Page 75
  Additional Concerns......Page 76
 Incident Categories......Page 77
 Cause and Impact......Page 78
  Impacts......Page 79
 KISS......Page 80
  Amber Inc.......Page 81
  Jade Ltd.......Page 82
 Introduction......Page 84
 Conflicting Demands of Initial Review, Detailed Investigation and Restoration......Page 86
 Analysis......Page 88
 The Business Requirement......Page 90
 “Monitoring the Incident” versus “Doing Something”......Page 92
   Confirmatory Activities......Page 93
   Exploratory Activities......Page 94
   Housekeeping......Page 95
 Restorative Activities......Page 96
 When to Break Out?......Page 97
  Revealing the Case Studies......Page 98
  A Short Meeting......Page 100
  If You Have the Time......Page 101
  Try to Be SMART......Page 102
 Introduction......Page 106
 The Incident Manager......Page 107
 Investigation Technicians......Page 108
 Technical and Support Staff......Page 109
 Law Enforcement......Page 110
 Creating an Effective Team......Page 111
  Jade Ltd.......Page 112
 Introduction......Page 114
  Key Points......Page 115
 Policy......Page 116
  Executive Commitment......Page 117
  Law Enforcement, Regulators, Media and Customers......Page 118
 Incident Administration......Page 119
  Jade Ltd.......Page 120
 Introduction: What Have You Let Yourself in For?......Page 122
 Team Composition......Page 123
  The Aim of the Incident Response Team......Page 125
  Internal Applicant Pool......Page 126
  The Pressures of Incident Response......Page 127
  Amber Inc.......Page 128
  Jade Ltd.......Page 129
 Introduction......Page 130
 Record Keeping......Page 131
 Information Systems......Page 132
   Security......Page 133
   Access Control......Page 134
   Reporting......Page 135
   Traceability and Auditability......Page 136
  Dashboards......Page 137
  Audit......Page 138
  Amber Inc.......Page 139
  Jade Ltd.......Page 140
 Introduction......Page 142
 What’s the Fuss About?......Page 143
  Ubiquitous Communication......Page 144
  Social......Page 145
  There Were Three of Us in This Marriage, So It Was a Bit Crowded......Page 146
  Working with the Unspeakable......Page 148
  The Role of the Backstage Crew......Page 149
   Maintenance......Page 150
   Sharing the Experience......Page 151
  Amber Inc.......Page 152
  Jade Ltd.......Page 153
 Introduction......Page 154
  Internet Service Providers (ISPs)......Page 155
  Regulators......Page 156
 A Little Bit about the Law......Page 157
  What Is a Good Lawyer?......Page 158
 Incident Co-Operation Organizations......Page 159
  Amber Inc. and Jade Ltd.......Page 160
 Introduction......Page 162
 Individual Training......Page 163
  GCHQ / NCSC......Page 165
 Team Training......Page 166
  Amber Inc.......Page 167
  Jade Ltd.......Page 168
 Introduction......Page 170
 The White Team......Page 171
 Expectancy Management......Page 172
  Managing the Incident Meetings......Page 173
  A Short Meeting......Page 175
  If You Have the Time......Page 176
 Setting SMART Tasks......Page 177
  Being Aware of Your Team......Page 179
 Closing Time?......Page 180
  Jade Ltd.......Page 181
 Incident Assignment......Page 184
 Continuity versus Fatigue......Page 185
 Managing Contacts......Page 187
 Managing Handovers......Page 188
  Amber Inc.......Page 190
  Jade Ltd.......Page 191
 Introduction......Page 192
  Incident Metadata......Page 193
  Incident Narrative......Page 194
  Approval of Privilege Use......Page 195
  Workflow Management......Page 196
  Evidence Packs......Page 197
  Summary Reporting......Page 198
  Need to Know......Page 199
  Incident Meetings......Page 200
  Jade Ltd.......Page 201
 Introduction......Page 204
 Starting......Page 205
 What Is the Purpose?......Page 206
 Who Should Be Involved?......Page 207
 Incident Management Process and Procedures......Page 208
 Equipment......Page 209
 Root Cause Analysis......Page 210
 Hindsight......Page 211
 Special Handling Cases......Page 212
 Mitigating Future Similar Incidents......Page 213
  Jade Ltd.......Page 215
 Introduction......Page 218
 Network Operations Centre......Page 219
 The Security Operations Centre (SOC)......Page 220
 Specific Security Concerns and Tools......Page 221
  Data Exfiltration......Page 222
  Distributed Denial of Service (DDoS)......Page 224
 Legal Concerns about Monitoring......Page 225
  Amber Inc.......Page 226
  Jade Ltd.......Page 227
 Introduction......Page 230
 What Is “Special Handling”?......Page 231
 Differences in Handling......Page 233
  Dealing with Illegal Material......Page 234
  Amber Inc.......Page 236
  Jade Ltd.......Page 237
 Introduction......Page 240
 There Are a Number of Types or Stages of Crisis......Page 241
  Crisis Management......Page 242
  Consistency and Simplicity......Page 243
  The Team......Page 244
  Amber Inc.......Page 245
  Jade Ltd.......Page 246
 Introduction......Page 248
 First Thoughts......Page 249
 Digital Forensics......Page 252
 Stay Flexible......Page 253
Index......Page 256
Glossary......Page 267