Specjalista do spraw reagowania na cyberincydenty

Praca zaczyna się przed incydentem. Specjalista monitoruje i ocenia stan systemów cyberbezpieczeństwa, zna zagrożenia dla sieci teleinformatycznych oraz standardy bezpieczeństwa, a także systemy operacyjne na poziomie pozwalającym odczytać, co działo się na maszynie. Prowadzi rejestrowanie zdarzeń i incydentów.

Kiedy incydent wystąpi, obowiązuje plan reagowania przyjęty w organizacji. Specjalista analizuje zdarzenie, ocenia jego zasięg i ogranicza skutki: odcina zajęty fragment sieci, blokuje konta, wstrzymuje usługę. Ustala przyczynę źródłową oraz identyfikuje podmiot działający w złych zamiarach, korzystając z wiedzy o metodach ataku, czyli z zasad etycznego hakowania. Gromadzi dowody i dokumentuje każde podjęte działanie w sposób, który wytrzyma późniejszą kontrolę albo postępowanie.

Specjalista przywraca działanie systemów i procesów, a potem opisuje, co trzeba zmienić, żeby to samo się nie powtórzyło, i prowadzi na tej podstawie zarządzanie ryzykiem. Utrzymuje kontakty z zainteresowanymi stronami — z kierownictwem, z działami, z dostawcami, a przy naruszeniu ochrony danych osobowych także z Prezesem Urzędu Ochrony Danych Osobowych. W Polsce zgłoszenia incydentów przyjmują zespoły CSIRT NASK, CSIRT GOV i CSIRT MON, działające na podstawie ustawy o krajowym systemie cyberbezpieczeństwa.