Patronen van incidentrespons
Lees meer over EPS Kisten van 75 x 60cm →
Beveiligingsincidenten zullen zich voordoen ondanks preventieve maatregelen. Trust architectuur vereist ontwerpen voor detecteerbaarheid, snelle reactie, forensisch onderzoek en elegant herstel. Deze pagina consolideert incidentresponspatronen uit de sectie Incidentrespons van de Trust pijler, die betrekking heeft op de detectiearchitectuur, reactieprocedures, forensische mogelijkheden en leren na het incident.
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Event Monitoring | ✅ Event Monitoring inschakelen voor het vastleggen van inlogpatronen, bulkgegevensexports, machtigingswijzigingen en API-activiteit met routering naar SIEM-platforms voor retentie die native bewaarlimieten overschrijdt |
| Transactiebeveiligingsbeleid | ✅ Configureer beleidsvormen die events in real-time evalueren om verdachte acties te blokkeren, step-upauthenticatie te vereisen of kennisgevingen via een trigger te activeren op basis van basiswaarden voor gedrag |
| Set-up controletraject | ✅ Bewaak wijzigingen in de administratieve configuratie, zodat ongeoorloofde wijzigingen kunnen worden gedetecteerd met een bewaartermijn van 180 dagen |
| Aangepaste toepassing vastleggen | ✅ Implementeer beveiliging-relevante event logging in Apex vastleggen van authenticatiefouten, autorisatieweigeringen en verdachte invoerpatronen |
| Bewaking van toestandscontrole | ✅ Configureer geautomatiseerde detectie van configuratieafwijking van beveiligingsbaselines die kunnen duiden op ongeoorloofde wijzigingen |
| SIEM-integratie | ✅ Route Event Monitoring logboeken naar enterprise SIEM-platforms voor correlatie met enterprise security telemetrie en gedragsanalyse |
| Waarschuwingsregels | ✅ Ontwerp waarschuwingsregels die verdachte patronen detecteren (bulktoegang buiten kantooruren, inloggen vanuit nieuwe geografische gebieden, snelle machtigingsescalatie) met gedragsuitgangswaarden om vals-positieven te minimaliseren |
| Gedragsanalyse | ✅ Stel gedragsbaselines vast die anomaliedetectie mogelijk maken voor ongebruikelijke volumes aan gegevenstoegang, administratieve activiteiten buiten kantooruren en API-verbruikspatronen |
| Detectie van meerdere kanalen | ✅ Implementeer detectie door middel van Event Monitoring, transactiebeveiliging, Set-up controletraject, aangepast vastleggen en toestandcontrole met meerdere onafhankelijke detectiesignalen |
| Onveranderbare logboekopslag | ✅ Routeer logboeken naar onveranderbare externe opslag die aanvallers niet kunnen wijzigen, zelfs niet met administratieve Salesforce-toegang, waardoor de integriteit van forensisch bewijs wordt gegarandeerd |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Alleen native logboekbewaring | ⚠️ Uitsluitend vertrouwen op native bewaarvensters van Salesforce-controletrajecten (Event Monitoring native limieten, 180 dagen Set-up controletraject) zonder externe archivering, waarbij logboeken worden ontdekt die zijn verlopen wanneer onderzoek een historische analyse vereist |
| Geen gedragsbaselines | ⚠️ Het hebben van geen gedragsuitgangswaarden voor anomaliedetectie, het genereren van buitensporige vals-positieve waarschuwingen die beveiligingsteams trainen om kennisgevingen te negeren |
| Geen SIEM-integratie | ⚠️ Gebrek aan enterprise SIEM-integratie, ontbrekende correlatiemogelijkheden met beveiligingstelemetrie van andere systemen die bredere compromispatronen zouden onthullen |
| Handmatige logboekbeoordeling | ⚠️ Afhankelijk van periodieke handmatige logboekbeoordeling in plaats van automatische waarschuwing, het ontdekken van incidenten weken of maanden na het optreden wanneer de schade is uitgebreid |
| Geen transactiebeveiligingsbeleid | ⚠️ Geen real-time transactiebeveiligingsbeleid hebben, geen mogelijkheid hebben om verdachte acties te blokkeren om schade te voorkomen voordat deze optreedt |
| Onvolledige dekking | ⚠️ Bewaking van alleen subset van beveiligingsrelevante events (inloggen, maar geen gegevenstoegang, configuratiewijzigingen, maar geen machtigingswijzigingen) waardoor blinde vlekken ontstaan |
| Vermoeidheid waarschuwen | ⚠️ Het genereren van buitensporige vals-positieve waarschuwingen zonder tuning, het trainen van teams om kennisgevingen te negeren, waaronder legitieme beveiligingsevents |
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Isolatiegrenzen | ✅ Ontwerparchitectuur zodat gecompromitteerde componenten kunnen worden geïsoleerd door intrekking van machtigingensets, IP-beperkingswijzigingen of sessiebeëindiging zonder kritieke bedrijfsfuncties te verstoren |
| Sessiebeheer | ✅ Implementeer mogelijkheden voor snelle sessiebeëindiging voor gecompromitteerde accounts, inclusief afgedwongen uitloggen en sessieongeldige sessies voor alle actieve sessies |
| Intrekking van machtiging | ✅ Verleen machtigingen door middel van machtigingensets in plaats van baseline-profielen, zodat intrekking snel is: het verwijderen van de toewijzing van de machtigingenset trekt toegang in wanneer geen profiel of andere toewijzing onafhankelijk dezelfde machtiging verleent |
| IP-beperkingen | ✅ Configureer inlog-IP-bereiken op profielniveau voor geprivilegieerde accounts, zodat logins vanaf andere adressen regelrecht worden geweigerd, waardoor snelle isolatie op netwerkniveau naar bekende beheerlocaties mogelijk is |
| Gebruikersaccount bevriezen | ✅ Implementeer procedures voor het bevriezen van accounts die authenticatie voorkomen, terwijl gegevens worden bewaard voor onderzoek zonder de gecompromitteerde account te verwijderen |
| API-toegangscontroles | ✅ Ontwerp API-authenticatie met tokenintrekkingsmogelijkheden voor snelle isolatie van gecompromitteerde integratieaccounts |
| Isolatie voor meerdere organisaties | ✅ Evalueer voor activa met een hoge waarde de architectuur voor meerdere organisaties die de sterkste isolatie biedt voor kritieke componenten ten koste van een grotere operationele complexiteit |
| Procedures voor breekglas bij noodgevallen | ✅ Onderhoud gedocumenteerde toegangsprocedures voor glasbreuk voor administratieve noodtoegang met audit en validatie na gebruik |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Geen isolatiegrenzen | ⚠️ Het ontbreken van architectonische isolatiegrenzen die volledige systeemsluiting vereisen om een compromis te bevatten, waardoor alle bedrijfsfuncties worden verstoord |
| Overdreven toegang | ⚠️ Brede machtigingen Alle gegevens wijzigen verlenen om intrekking van granulaire machtigingen te voorkomen zonder meerdere bedrijfsprocessen te verstoren |
| Gedeelde serviceaccounts | ⚠️ Eén gedeelde “API-gebruiker” of “Integratiegebruiker”-account gebruiken voor meerdere systemen, waardoor isolatie van specifieke gecompromitteerde integratie wordt voorkomen zonder alle integraties te verbreken |
| Geen IP-beperkingen | ⚠️ Het hebben van geen IP-whitelisting voor geprivilegieerde accounts, het ontbreken van insluitingsmogelijkheden op netwerkniveau wanneer accounts worden gecompromitteerd |
| Geen sessiebeheer | ⚠️ Gebrek aan mogelijkheden voor sessiebeëindiging die het opnieuw instellen van het wachtwoord vereisen als enige manier om uitloggen af te dwingen, waardoor vertragingen worden geïntroduceerd tijdens kritieke reactievensters |
| Geen noodprocedures | ⚠️ Geen gedocumenteerde toegangsprocedures voor glasbreuk of noodgevallen hebben, kritieke beslissingen improviseren onder druk tijdens actieve incidenten |
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Event Monitoring-logboeken | ✅ Leg gedetailleerde activiteitenlogboeken vast, inclusief gebruikersacties, API-aanroepen, authenticatie-events en gegevenstoegangspatronen met voldoende details voor forensische analyse |
| Veldcontroletraject | ✅ Veldcontroletraject inschakelen met behoud van gegevenswijzigingshistorie voor velden Beperkt en Vertrouwelijk met behoud dat overeenkomt met wettelijke vereisten (ondersteunt onbepaalde bewaring; bevestig de vereiste periode op basis van de toepasselijke regelgeving) |
| Onveranderbare opslag | ✅ Routeer logboeken naar externe onveranderbare opslag die aanvallers niet kunnen wijzigen, waardoor forensische bewijsintegriteit tijdens het hele onderzoek wordt gegarandeerd |
| Set-up controletraject | ✅ Bewaar de wijzigingshistorie van de administratieve configuratie, zodat ongeautoriseerde systeemwijzigingen kunnen worden onderzocht met een retentie van 180 dagen |
| Beoordeling van scope | ✅ Ontwerp machtigingsmodellen en besturingselementen voor gegevenstoegang voor een snelle beoordeling van het bereik van gegevensblootstelling op basis van gecompromitteerde accountmachtigingen |
| Correlatie wijzigen | ✅ Correlatie onderhouden tussen configuratiewijzigingen van Set-up controletraject en activiteitspatronen van Event Monitoring, waardoor onderzoek van aanvallerstechnieken mogelijk is |
| Vastleggen van gegevenstoegang | ✅ Log alle toegang tot Beperkte en vertrouwelijke gegevens waardoor onderzoek mogelijk is naar welke gegevens zijn blootgesteld tijdens de compromisperiode |
| Integratiecontroletraject | ✅ API-authenticatie, autorisatie en gegevensuitwisselingspatronen vastleggen voor geïntegreerde systemen, waardoor onderzoek naar systeemoverschrijdende compromissen mogelijk is |
| Behoud van bewijs | ✅ Routeer logboeken en audit trails continu naar onveranderbare externe opslag zodat forensisch bewijs bewaard blijft en beschikbaar is wanneer een incident wordt onderzocht |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Opslag van muteerbaar logboek | ⚠️ Logboeken alleen opslaan binnen Salesforce waar aanvallers met beheerderstoegang forensisch bewijs kunnen verwijderen of wijzigen |
| Onvoldoende logboekdetails | ⚠️ Vastleggen van events op hoog niveau zonder voldoende details voor onderzoek (login vastgelegd, maar geen IP-adres, gegevenstoegang vastgelegd, maar geen specifieke records) |
| Geen gegevenstoegang vastleggen | ⚠️ Gebrek aan gedetailleerd vastleggen van toegang tot beperkte en vertrouwelijke gegevens, kan bereik van blootstelling aan gegevens niet beoordelen tijdens kennisgeving van inbreuk |
| Controletraject ontbrekend veld | ⚠️ Veldcontroletraject niet inschakelen voor gevoelige velden, niet kunnen bepalen welke gegevenswaarden zijn blootgesteld tijdens compromis |
| Geen wijzigingscorrelatie | ⚠️ Geen correlatiemogelijkheid hebben tussen configuratiewijzigingen van Set-up controletraject en daaropvolgende activiteitspatronen van Event Monitoring |
| Verwijderde controlehistorie | ⚠️ Controlehistorie laten verlopen vóór het wettelijke bewaarminimum dat de regelgeving voor uw implementatie stelt, waardoor nalevingsschendingen ontstaan |
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Doelstellingen voor hersteltijd | ✅ Hersteltijddoelstelling (RTO) en Herstelpuntdoelstelling (RPO) definiëren en testen voor scenario’s voor beveiligingsincidenten, niet alleen scenario’s voor noodherstel |
| Geteste herstelprocedures | ✅ Document herstel processen voor gecompromitteerde accounts, bulk data exfiltratie, ongeautoriseerde implementaties, privilege escalatie, en pakket compromis met driemaandelijkse testen |
| Back-upvalidatie | ✅ Valideer back-upintegriteit regelmatig, zodat herstelmogelijkheden functioneren tijdens beveiligingsincidenten, niet alleen operationele fouten |
| Terugdraaimogelijkheden | ✅ Ontwerp implementatiepijplijnen met geteste terugdraaiprocedures voor ongeoorloofde code-implementaties of kwaadwillende configuratiewijzigingen |
| Rotatie van inloggegevens | ✅ Implementeren van snelle inloggegevensrotatieprocedures voor gecompromitteerde integratieaccounts, API-gebruikers en benoemde inloggegevens |
| Machtigingen herstellen | ✅ Documentprocedures voor het herstellen van de juiste toegang na te brede isolatieacties tijdens incidentrespons |
| Gegevensherstel | ✅ Gegevensherstelmogelijkheden ontwerpen voor het aanpakken van gegevenscorruptie of -verwijdering als gevolg van beveiligingsincidenten, onderscheiden van rampherstel |
| Servicecontinuïteit | ✅ Architect-oplossingen zodat procedures voor het reageren op beveiligingsincidenten de continuïteit van kritieke bedrijfsfuncties behouden tijdens onderzoek en herstel |
| Validatie van herstel | ✅ Test herstelprocedures driemaandelijks valideren dat herstelde systemen correct functioneren en compromissen niet zijn blijven bestaan door herstel |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Niet-geteste procedures | ⚠️ Na gedocumenteerde herstelprocedures die nooit zijn getest door middel van oefeningen, waarbij tijdens feitelijke incidenten wordt ontdekt dat procedures onvolledig of onjuist zijn |
| Geen RTO/RPO voor beveiliging | ⚠️ Hersteltijddoelstellingen alleen definiëren voor herstel bij rampen zonder rekening te houden met scenario’s voor beveiligingsincidenten die verschillende herstelprocedures vereisen |
| Geen terugdraaimogelijkheid | ⚠️ Ontbrekende implementatie rollback procedures voor ongeautoriseerde code-implementaties, die volledige herontwikkeling vereisen om kwaadaardige wijzigingen te verwijderen |
| Niet-gevalideerde back-ups | ⚠️ Nooit back-upherstel testen, tijdens incidenten ontdekken dat back-ups beschadigd of onvolledig zijn |
| Geen roulatieprocedures voor inloggegevens | ⚠️ Het hebben van geen snelle inloggegevensrotatieprocedures voor gecompromitteerde integratieaccounts, waardoor gecompromitteerde inloggegevens actief blijven tijdens onderzoek |
| Handmatige herstelprocessen | ⚠️ Afhankelijk van handmatige herstelprocedures tijdens incidenten, fouten en vertragingen introduceren wanneer snelheid kritiek is |
| Geen hersteltests | ⚠️ Nooit valideren dat herstelde systemen correct functioneren na herstel, potentieel opnieuw introduceren van compromis of gegevenscorruptie |
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Reactie van gecompromitteerde gebruikersaccount | ✅ Documentprocedures: gebruiker bevriezen, opnieuw instellen van inloggegevens afdwingen, Set-up controletraject en logboeken voor gegevenstoegang voor compromisperiode bekijken, bereik van gegevensblootstelling beoordelen, kennisgeving van inbreuk uitvoeren als toegang tot beperkte gegevens |
| Reactie op exfiltratie van bulkgegevens | ✅ Documentprocedures: trek de sessie onmiddellijk in, beperk machtigingen, identificeer betroffen records en classificatieniveaus, voer kennisgevingen van inbreuken op regelgeving uit binnen de tijdlijn die de regelgeving voor uw implementatie instelt |
| Reactie op ongeoorloofde code-implementatie | ✅ Documentprocedures: implementatie onmiddellijk terugdraaien, alle wijzigingen controleren vanuit gecompromitteerd inloggegeven, pijplijnbeveiliging controleren op autorisatieomleiding, geïmplementeerde code scannen op persistente achterdeuren |
| Reactie op escalatie van privileges | ✅ Documentprocedures: geëscaleerde machtigingen onmiddellijk intrekken, auditactiviteiten uitvoeren met verhoogde toegang, onderzoeken hoe escalatie goedkeuringselementen heeft omzeild, compenserende controles implementeren |
| Reactie op appExchange pakketcompromis | ✅ Documentprocedures: pakketmachtigingen isoleren, gegevens beoordelen die per pakket zijn geopend, opties voor pakketvervanging evalueren, geleerde lessen documenteren voor pakketevaluatiecriteria |
| Detectiesignalen | ✅ Configureer bewaking die elk scenario detecteert: inloganomalieën voor gecompromitteerde accounts, rapportexportvolume voor exfiltratie, implementatiebewaking voor ongeoorloofde code, bewaking van machtigingswijzigingen voor escalatie |
| Tafelbladoefeningen | ✅ Voer tabletop-oefeningen uit voor het testen van reactieprocedures voor platformspecifieke scenario’s die teamgereedheid en procedurevolledigheid valideren |
| Reactieautomatisering | ✅ Real-time transactiebeveiligingsbeleid blokkeert automatisch verdachte acties, vereist opgevoerde authenticatie of informeert responders over detectiesignalen met groot vertrouwen, waardoor geautomatiseerde insluiting wordt geboden die de reactietijd verkort |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Alleen generieke reactieplannen | ⚠️ Alleen generieke incidentresponsprocedures hebben zonder Salesforce-specifieke begeleiding, waarbij platformspecifieke acties worden geïmproviseerd tijdens actieve incidenten |
| Geen detectieconfiguratie | ⚠️ Geen bewaking geconfigureerd hebben om platformspecifieke scenario’s te detecteren (bulkexport, escalatie van rechten, ongeoorloofde implementatie), incidenten ontdekken via gebruikersrapporten of audits |
| Geen tafelbladoefeningen | ⚠️ Voer nooit oefeningen op tafel uit om teamvertrouwdheid met platformspecifieke reactieprocedures te valideren, Knowledge hiaten te ontdekken tijdens feitelijke incidenten |
| Geen automatisering | ⚠️ Volledig handmatige reactie voor alle incidenten zonder real-time transactiebeveiligingsbeleid voor geautomatiseerde insluiting, waarbij vertragingen worden geïntroduceerd wanneer onmiddellijke blokkering de schade kan verminderen |
| Ontbrekende responsdraaiboeken | ⚠️ Ontbrekende gedocumenteerde responsplaybooks voor veelvoorkomende scenario’s (gecompromitteerde gebruikersaccount, gegevensexfiltratie, implementatie van ongeoorloofde code) |
| Procedures voor kennisgeving van geen inbreuk | ⚠️ Het hebben van geen procedures voor wettelijke kennisgevingen van inbreuken, vervormen om verplichtingen te begrijpen tijdens feitelijke incidenten wanneer de tijdlijnen krap zijn |
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Out-of-Band communicatie | ✅ Communicatiekanalen opzetten die niet afhankelijk zijn van potentieel gecompromitteerde systemen (telefoonstructuren, externe berichtenplatforms) voor het coördineren van reacties |
| Escalatieprocedures | ✅ Document escalatietrajecten van initiële detectie tot leidinggevende kennisgeving met contactgegevens en escalatiecriteria |
| Kennisgevingssjablonen | ✅ Onderhoud vooraf opgestelde kennisgevingssjablonen voor veelvoorkomende incidenttypen, zodat belanghebbenden, klanten en toezichthouders snel kunnen communiceren |
| Identificatie van belanghebbenden | ✅ Identificeer belanghebbenden die kennisgeving vereisen voor verschillende typen incidenten, waaronder leidinggevenden, juridische zaken, naleving, betroffen gebruikers en regelgevende instanties |
| Tijdlijnen voor kennisgevingen van regelgeving | ✅ Documenteer de vereisten voor kennisgevingen van regelgeving van elk rechtsgebied, bevestigd aan de hand van de regelgeving voor uw implementatie, met procedures die tijdige naleving garanderen |
| Interne coördinatie | ✅ Ontwerp incidentcoördinatieprocedures met vermelding van rollen en verantwoordelijkheden (incidentcommandant, technische lead, communicatielead, juridische contactpersoon) |
| Externe coördinatie | ✅ Procedures opstellen voor coördinatie met Salesforce-ondersteuning, externe forensische onderzoekers, juridische adviseurs en rechtshandhaving, indien van toepassing |
| Statuscommunicatie | ✅ Implementeer regelmatige statuscommunicatiecadans tijdens actieve incidenten om belanghebbenden op de hoogte te houden zonder een overweldigend onderzoeksteam |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Geen out-of-band communicatie | ⚠️ Volledig afhankelijk van potentieel gecompromitteerde e-mail of intern berichtenverkeer voor incidentcoördinatie, communicatievermogen verliezen wanneer primaire kanalen worden gecompromitteerd |
| Onduidelijke escalatiepaden | ⚠️ Geen gedocumenteerde escalatieprocedures hebben, wat vertragingen en verwarring veroorzaakt over wie wanneer op de hoogte moet worden gebracht |
| Geen kennisgevingssjablonen | ⚠️ Verbeteren van incidentmeldingen tijdens actieve incidenten onder tijdsdruk, resulterend in onvolledige of onjuiste communicatie |
| Ontbrekende lijsten van belanghebbenden | ⚠️ Geen vooraf geïdentificeerde lijsten van belanghebbenden hebben, tijdens incidenten ontdekken dat kritieke partijen (juridisch, naleving, leidinggevenden) niet zijn geïnformeerd |
| Geen tijdlijnbewustzijn van regelgeving | ⚠️ Niet op de hoogte zijn van de tijdlijnen voor kennisgevingen die van toepassing zijn op uw implementatie tijdens incidentrespons, ontbrekende deadlines en het maken van extra nalevingsschendingen |
| Onduidelijke rollen | ⚠️ Onduidelijke incidentresponsrollen en -verantwoordelijkheden hebben, verwarring veroorzaken over wie de bevoegdheid heeft om inperkingsbeslissingen te nemen |
| Geen externe coördinatieprocedures | ⚠️ Geen vaste relaties of procedures hebben voor het inschakelen van Salesforce-ondersteuning, forensische onderzoekers of rechtshandhaving indien nodig |
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Onberispelijke cultuur | ✅ Focus na het incident op systeemverbeteringen in plaats van individuele schuld, waardoor organisatorisch leren mogelijk wordt zonder angst voor gevolgen |
| Tijdlijndocumentatie van incident | ✅ Document complete incident tijdlijn inclusief initiële compromis, detectie, reactie acties en oplossing met nauwkeurige tijdstempels |
| Analyse van fouten controleren | ✅ Identificeer welke preventieve en detectivecontroles het incident niet hebben kunnen voorkomen of detecteren, op basis van architectonische verbeteringen |
| Documentatie over architectonische zwakheden | ✅ Documenteer architectonische zwakheden die door het incident worden onthuld in Architecture Decision Records (ADR’s) die beveiligingswijzigingen vastleggen |
| Prioritering van herstel | ✅ Prioriteer herstel op basis van risicoverminderingspotentieel, waarbij de hoofdoorzaken worden aangepakt in plaats van de symptomen |
| Les delen | ✅ Deel geleerde lessen tussen teams en bedrijfseenheden die soortgelijke incidenten in andere delen van de organisatie voorkomen |
| Updates van detectieregels | ✅ Update detectieregels en gedrag baselines op basis van aanvalstechnieken waargenomen tijdens onderzoek |
| Verfijning van reactieprocedure | ✅ Update incident response procedures op basis van wat werkte en wat niet tijdens de feitelijke incidentrespons |
| Meetgegevens bijhouden | ✅ Track gemiddelde tijd voor detectie (MTTD), gemiddelde tijd om te reageren (MTTR) en bereik van de impact in de loop van de tijd identificeren van trends die architectonische investeringen vereisen |
| Cadans beoordelen | ✅ Voer een tijdige beoordeling na het incident uit terwijl details vers blijven en er momentum voor verbetering bestaat |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Overgeslagen beoordelingen | ⚠️ Beoordelingen na het incident overslaan, direct naar het volgende incident gaan zonder geleerde lessen of architectonische verbeteringen vast te leggen |
| Schuldcultuur | ⚠️ Beoordeling na het incident richten op individuele schuld in plaats van systeemverbeteringen, waardoor incidenten worden verborgen en organisatorisch leren wordt voorkomen |
| Geen bouwkundige documentatie | ⚠️ Het niet documenteren van wijzigingen in de beveiligingsarchitectuur als gevolg van incident learnings in Architecture Decision Records (ADR’s) |
| Behandeling van symptomen | ⚠️ Alleen incidentsymptomen (gecompromitteerd wachtwoord) oplossen zonder de hoofdoorzaken te verhelpen (gebrek aan MFA), waardoor soortgelijke aanvallen kunnen slagen |
| Geen lessen delen | ⚠️ Incident learnings binnen het responsteam houden in plaats van delen binnen de organisatie, waardoor soortgelijke incidenten in andere bedrijfseenheden mogelijk worden |
| Geen detectie-updates | ⚠️ Het niet bijwerken van detectieregels of gedragsuitgangswaarden op basis van geobserveerde aanvalstechnieken, kwetsbaar blijven voor soortgelijke aanvallen |
| Geen meetgegevens bijhouden | ⚠️ Het niet bijhouden van gemiddelde tijd voor detectie (MTTD), gemiddelde tijd om te reageren (MTTR) of bereiktrends, ontbrekende opportunities om systemische zwakheden te identificeren |
| Vertraagde beoordelingen | ⚠️ Het uitvoeren van beoordelingen na het incident maanden na de oplossing van het incident wanneer details zijn vergeten en het momentum van verbetering is verloren |
| Geen follow-up van herstel | ⚠️ Verbeteringen identificeren tijdens beoordeling na het incident, maar deze niet implementeren, waardoor soortgelijke incidenten kunnen terugkeren |