As 7 etapas para resposta a incidentes eficaz

Identificar o incidente

Em um cenário ideal, as ferramentas de monitoramento e alertas vão identificar e informar a equipe sobre um incidente antes mesmo dos clientes perceberem. Embora às vezes você vai ficar sabendo primeiro sobre um incidente pelo Twitter ou tickets do suporte ao cliente.

Não importa como o incidente é detectado, a primeira etapa deve ser registrar que um novo incidente está aberto em uma ferramenta para rastrear incidentes. Em uma solução de gerenciamento de incidentes, como o Jira Service Management, os alertas e a comunicação são integrados à ferramenta de rastreamento.

Definir canais de comunicação da equipe

Uma das primeiras ações que o gerenciador de incidentes (GI) faz quando ele se conecta é configurar os canais de comunicação da equipe de incidentes. O objetivo nesse momento é estabelecer e concentrar todas as comunicações da equipe de incidentes em lugares conhecidos, por exemplo:

• Sala de bate-papo no Slack ou outro serviço de mensagens.
• Bate-papo por vídeo em aplicativo de conferência, como o Zoom (ou se vocês estiverem no mesmo local, reúna a equipe em uma sala).

A gente prefere usar ferramentas de bate-papo por vídeo e de bate-papo de texto durante incidentes, já que ambas se destacam em situações diferentes. O bate-papo por vídeo é ótimo para criar uma imagem mental compartilhada do incidente com rapidez por meio da discussão em grupo. E o Slack ajuda a gerar um registro de data e hora do incidente com links coletados para capturas de tela, URLs e painéis.

O Slack e a maioria das outras ferramentas de bate-papo permitem que os usuários definam o assunto da sala. O gerenciador de incidentes deve usar esse campo para obter informações sobre o incidente e links úteis.

Por último, o GI define o próprio status pessoal do bate-papo para a chave de item do incidente que ele está gerenciando. Isto permite que seus colegas saibam que eles estão ocupados gerenciando um incidente.

Preparation

Preparation is the core of an incident response plan and determines a company’s responsiveness to an attack. A well-documented pre-incident process facilitates smooth navigation through intense, high-stress scenarios.

Any company will be more resilient with a robust incident response process based on the Atlassian Incident Handbook.

Identification

This phase involves detecting and verifying incidents through error messages, log files, and monitoring tools. Incidents might be identified through social media or customer support tickets, requiring the response team to manually record the incident in an incident-tracking tool.

Tools like Jira Service Management centralize all alerts and incoming signals from your monitoring, service desk, and logging applications, making it easy to categorize and prioritize issues.

Containment

Once you detect an incident, containment helps prevent further damage. During containment, the response team aims to minimize the scope and effects of an incident.

Eradication

Following containment, the primary focus shifts to removing threats from the company’s network or system. This phase involves a meticulous cleansing of all systems, removing any lingering malicious content to minimize the risk of potential reinfection.

Companies start restoring normal operations by conducting a comprehensive investigation and successfully eliminating threats.

Recovery

After eradicating the threats, the team focuses on restoring the affected systems to their pre-incident state. Data recovery and system restoration are vital for minimizing further losses and ensuring smooth operations.

Lessons learned

Incident debriefings are crucial to refining incident response strategies. The team reviews documentation, evaluates performance, and implements change to enhance incident handling efficiency. Every incident is a learning opportunity for the incident response team.

Tools for effective incident response

Teams need specialized tools, such as security information & event management (SIEM) systems, intrusion detection systems (IDS), forensic tools, and communication platforms, for streamlined incident response processes. 

Tools like Jira Service Management play a critical role in reducing resolution time and negative impacts. They automatically limit noise and surface the most crucial issues to the right team using powerful routing rules and multiple communication channels. 

Avaliar o impacto e aplicar um nível de gravidade

Depois que os canais de comunicação da equipe do incidente estiverem definidos, é hora de avaliar o incidente para que a equipe possa decidir o que contar às pessoas sobre ele e quem precisa corrigi-lo.

Temos o seguinte conjunto de perguntas que os IMs fazem às suas equipes:

• Qual é o impacto para os clientes (internos e externos)?
• O que os clientes estão vendo?
• Quantos clientes foram afetados (alguns, todos)?
• Quando começou?
• Quantos casos de suporte os clientes abriram?
• Existem outros fatores, p. ex., Twitter, segurança ou perda de dados?

A próxima etapa é atribuir o nível de gravidade.

Why is incident response important?

A well-structured incident response plan minimizes incident impacts, enabling businesses to act swiftly and efficiently against threats. It reduces recovery time, financial loss, and reputational damage.

Who should be on an incident response team?

The incident response team should be diverse and include various roles and responsibilities. The team should include the incident commander, technical leads, communications managers, customer support leads, subject matter experts, social media leads, and problem managers. Executives and leaders across multiple domains within the company should coordinate the team.

What are some challenges of incident response?

Incident response teams often face an array of challenges, from resource constraints to issues with context, prioritization, communication, collaboration, stakeholder visibility, and the occasional human error. Preparedness is crucial to anticipate and tackle these challenges effectively. For example, involving the legal team in the preparation stage can mitigate potential legal or regulatory hurdles.