Come già descritto, lo scopo è di rilevare, identificare e classificare le migliaia di log generati dai vari prodotti IT/IoMT distinguendo quelli che consentono di identificare un tentativo di compromissione. Durante il triage, l’incidente sarà classificato come segue.
- Informational: anomalie sul traffico di rete, informazioni generiche.
- Low: vulnerabilità non gravi, basso rischio di violazione integrità dei sistemi.
- Moderate: vulnerabilità gravi, rischio concreto di violazione integrità dei sistemi (malware generico).
- High: rischio elevato di violazione disponibilità di server, violazione di confidenzialità di dati sensibili e/o soggetti a normative Privacy, possibile presenza di malware ransomware, vulnerabilità gravi e così via.
- Critical: evidenze di violazione disponibilità di server, violazione di confidenzialità di dati sensibili e/o soggetti a normative Privacy, evidenze della presenza di malware ransomware, vulnerabilità critiche e così via.
Importantissimo per una struttura sanitaria sono gli SLA di notifica che, in caso di importante criticità, è, al massimo, 60 minuti.
In questa fase vengono definite, sulla base delle informazioni raccolte durante la fase di Triage e Analysis, le attività per contenere la minaccia ed evitare l’estensione dell’incidente all’interno dell’intera infrastruttura.
Lo scopo è duplice perché, oltre a contenere la propagazione della minaccia, si ha la possibilità di analizzare e individuare ulteriori prove preziose per determinare da dove è iniziata la violazione ed elaborare un piano di rimedio per evitare che si ripeta.
Una volta identificati i sistemi coinvolti ed applicato un corretto piano di contenimento, è necessario individuare ed eliminare le compromissioni e le eventuali persistenze all’interno della rete: nel minor tempo possibile, vengono applicate tutte le azioni atte a rimuovere la presenza dell’attaccante dall’infrastruttura.
La generazione di un episodio malevolo non implica obbligatoriamente una attività di eradicazione: ciò avviene soltanto nel caso in cui l’attività prevista rientri tra quelle contrattualmente definite e condivise con il cliente.
Si tratta dell’applicazione delle azioni necessarie per impedire che incidenti simili possano ripetersi nuovamente. Di norma, invece di una singola fase post-incidente, le best-practice consigliano:
- di avvalersi di un approccio strutturato (per anticipare le minacce alla sicurezza IT/IoMT prima che queste arrechino danni) e
- di risolvere eventuali problemi che potrebbero essersi già verificati.
L’obiettivo di tale fase è quello di fornire al cliente, attraverso tutte le informazioni disponibili, gli strumenti per procedere in autonomia con l’implementazione delle attività di rimedio da noi suggerite.
Ovviamente, se necessario, Mead mette a disposizione le proprie competenze specialistiche.
La fase di Recovery prevede il ripristino dell’operatività dell’infrastruttura e dei servizi alla normalità in attuazione al piano di Business Continuity e Disaster Recovery, coinvolgendo attività sistemistiche, procedurali e di sicurezza.
Questa fase è esclusa dal servizio e potrà essere erogata separatamente a consuntivo.
Per tutta la durata del Servizio ClinicalSOC®, Mead prevede l’organizzazione di sessioni a cadenza trimestrale da parte di un Service Manager assegnato e dedicato a quello specifico cliente per valutare lo stato del servizio e verificare insieme al cliente stesso: eventuali modifiche da apportare all’attuale organizzazione e/o alla definizione dei processi di intervento o l’introduzione di ulteriori attività con lo scopo di migliorare la postura di sicurezza interna.
