Tujuan Rencana Tanggap
Rencana respons pelanggaran data menyediakan peta jalan untuk diikuti ketika pelanggaran ditemukan.
Ini adalah alat penghematan waktu dan pengurangan stres. Begitu rencana Anda sudah siap, Anda tidak perlu membuang waktu dan energi untuk memutuskan apa yang harus dilakukan setiap kali terjadi pelanggaran. Anda cukup mengikuti langkah-langkah yang telah Anda buat sebelumnya. Rencana respons yang matang dapat membantu Anda menghindari kesalahan yang mungkin Anda buat ketika bertindak dalam mode krisis.
Elemen dari Rencana Tanggapan
Agar efektif, rencana respons pelanggaran data harus mencakup hal-hal berikut:
- Definisi pelanggaran
- Daftar anggota tim tanggap
- Langkah-langkah tindakan untuk menangani pelanggaran tersebut
- Prosedur tindak lanjut
Mendefinisikan Pelanggaran
Satu langkah penting dalam mengembangkan rencana respons adalah memutuskan apa yang merupakan pelanggaran . Artinya, jenis insiden apa yang akan mengaktifkan rencana Anda? Beberapa peristiwa, seperti email phishing, mungkin memiliki sedikit atau tidak berpengaruh pada operasi perusahaan Anda. Lainnya, seperti infeksi ransomware atau penolakan serangan layanan, dapat menyebabkan gangguan serius.
Meskipun definisi pelanggaran dapat bervariasi dari satu rencana ke rencana lainnya, ini biasanya mencakup pencurian atau intrusi data elektronik apa pun yang berisi informasi sensitif tentang pelanggan, pasien, klien, atau karyawan. Ini juga harus mencakup setiap pencurian (atau upaya pencurian) informasi perusahaan yang sensitif seperti paten, rahasia dagang, dan kekayaan intelektual lainnya.
Tim Respon Anda
Rencana respons Anda harus mengidentifikasi anggota tim respons Anda. Ini adalah individu yang akan melaksanakan rencana respons Anda ketika pelanggaran terjadi. Mereka harus dipercaya sebagai karyawan yang akrab dengan bisnis Anda. Mereka harus mengambil tanggung jawab mereka sebagai anggota tim dengan serius.
Ukuran tim Anda dan komposisinya bergantung pada beberapa faktor. Ini termasuk ukuran perusahaan Anda, industri tempat Anda beroperasi, dan kompleksitas bisnis Anda. Di banyak perusahaan, tim respons mencakup setidaknya satu perwakilan dari masing-masing bidang berikut:
- Sumber daya manusia
- Teknologi informasi atau keamanan data
- Komunikasi
- Manajemen risiko
- Hukum
- Manajemen senior
Beberapa pelanggaran data mungkin terlalu besar atau terlalu rumit bagi karyawan Anda untuk ditangani sendiri. Untuk menghadapi peristiwa ini tim Anda akan membutuhkan bantuan dari para ahli dari luar. Konsultan luar ini harus diidentifikasi dalam rencana respons Anda. Mereka mungkin termasuk pengacara, personil penegak hukum, dan ahli keamanan atau pemulihan data.
Langkah-Langkah Tindakan dari Rencana Anda
Rencana respons Anda harus memberikan petunjuk langkah demi langkah untuk anggota tim respons Anda tentang apa yang harus dilakukan ketika terjadi pelanggaran data. Setiap anggota harus diberi peran yang mencerminkan keahliannya.
Misalnya, tanggung jawab untuk menentukan bagaimana pelanggaran terjadi harus diberikan kepada karyawan keamanan data. Demikian juga, tugas untuk memberitahu perusahaan asuransi yang mengeluarkan kebijakan tanggung jawab cyber Anda harus ditugaskan kepada karyawan manajemen risiko. Rencana tersebut harus memungkinkan tim Anda untuk menganalisis pelanggaran, menentukan apa yang salah, membatasi kerusakan, dan melakukan perbaikan apa pun yang diperlukan untuk mencegah kejadian serupa terjadi di masa depan.
Anggota tim tanggap Anda harus mendokumentasikan semua tindakan yang mereka lakukan setelah pelanggaran terjadi. Ini penting karena beberapa alasan. Pertama, catatan akan memverifikasi bahwa anggota tim mengikuti instruksi yang diuraikan dalam rencana Anda. Kedua, dokumentasi akan memberikan informasi yang berharga ketika Anda melakukan evaluasi pasca-pelanggaran Anda.
Ketiga, catatan mungkin diperlukan oleh otoritas negara bagian atau federal jika pelanggaran melibatkan data yang dilindungi oleh hukum. Beberapa jenis informasi identitas pribadi (seperti nomor kartu kredit atau informasi kesehatan) tunduk pada undang-undang privasi negara bagian atau federal. Jika Anda menyimpan data sensitif tentang pelanggan, pasien, atau karyawan di sistem komputer Anda dan informasinya disusupi, Anda mungkin diwajibkan oleh hukum untuk memberi tahu individu yang datanya telah dilanggar. Anda mungkin juga diminta untuk melaporkan pelanggaran ke lembaga negara bagian atau federal. Banyak undang-undang yang menentukan jangka waktu untuk pemberitahuan. Persyaratan pemberitahuan, termasuk siapa yang harus diberitahu dan jangka waktu yang dimandatkan, harus dinyatakan dalam rencana respons Anda.
Mengikuti
Setelah rencana Anda sepenuhnya dilaksanakan dan pelanggaran telah dikandung, Anda harus melakukan sesi pembekalan dengan tim respons Anda. Minta semua anggota untuk menjalankan melalui langkah-langkah yang mereka ambil dan pelajaran yang mereka pelajari dari proses. Anggota harus menguraikan masalah yang mereka temui sepanjang jalan sehingga rencana dapat disesuaikan sesuai kebutuhan.