Onze verantwoordelijkheden voor beveiligingsincidenten bij Atlassian
Introductie
Net als elke andere cloudserviceprovider doen we ons best om ervoor te zorgen dat onze klanten geen uitval of beveiligingsincidenten ondervinden. We begrijpen echter dat er waarschijnlijk een beveiligingsincident plaats zal vinden. Het is belangrijk voor ons dat klanten begrijpen hoe ze passen in ons responsproces voor beveiligingsincidenten en welke verantwoordelijkheden ze hebben tijdens een incident. We plannen voor het ergste, dus wanneer er iets gebeurt, zijn we er klaar voor en is onze klant niet #@! %(DFTC).
We doen ons best om alle beveiligingsincidenten volledig af te handelen die van invloed zijn op onze diensten en infrastructuur. We regelen alles, van inbreukdetectie tot inperking en zelfs openbaarmaking. We kunnen echter onmogelijk alles zien; soms hebben we een helpende hand nodig van onze klanten om een incident te melden of van een extern adviesbureau die gespecialiseerde onderzoeks- of forensische vaardigheden kan bieden.
Rollen
We hebben een aantal modellen voor het beheren van beveiligingsincidenten beoordeeld en gebruiken deze om ervoor te zorgen dat onze incidentresponsprocessen niet alleen uitgebreid maar ook van wereldklasse zijn. We hebben de belangrijkste activiteiten uit die modellen gehaald en de verantwoordelijkheid voor elk model beschreven.
| | Partij | Rol | Beschrijving |
|---|---|---|---|
|
| Partij Atlassian | Rol Coördinator voor respons op beveiligingsincidenten | Beschrijving Elk beveiligingsincident heeft een hoofdcoördinator van ons Atlassian-beveiligingsteam die beveiligingsbeslissingen neemt, toezicht houdt op het proces en taken toewijst. |
|
| Partij Atlassian | Rol Beveiligings- analist bij incidenten | Beschrijving Beveiligingsanalisten voeren het merendeel van de incidentonderzoeken en -analyses uit. Bij kleinere incidenten wordt dit vaak gedaan door de coördinator voor de beveiligingsincidentrespons. |
|
| Partij Atlassian | Rol Lead klant- communicaties | Beschrijving Aan elk incident wordt een lead voor klantcommunicatie toegewezen, die beslissingen neemt over hoe klanten moeten worden betrokken. Meestal verzorgt deze persoon ook een groot deel van de klantcommunicatie. |
|
| Partij Atlassian | Rol Red team | Beschrijving Het Red Team van Atlassian bootst cybertegenstanders uit de echte wereld na en voert gedefinieerde testscenario's uit die zijn ontworpen om verbeteringen in onze eigen detectie- en responsmogelijkheden te evalueren en te identificeren. |
|
| Partij Atlassian | Rol Ondersteunings- adviseur | Beschrijving Atlassian-managementteams voor beveiligingsincidenten vragen advies van verschillende interne vakexperts (bijv. juridisch, privacy, risico, human resources enz.). Deze adviseurs bieden gespecialiseerde begeleiding bij kwesties die van invloed zijn op hun expertisegebieden. |
|
| Partij Beveiligings- advies | Rol Consultant | Beschrijving Atlassian maakt gebruik van de diensten van een gespecialiseerd cyberbeveiligingsadviesbureau in geval van een incident. Over het algemeen wordt het adviesbureau gevraagd om extra resources in geval van een tekort, om specialistische vaardigheden wanneer deze intern niet beschikbaar zijn, en om onafhankelijk advies en onafhankelijke beoordeling van incidenten. |
|
| Partij Klant | Rol Auteur | Beschrijving Klanten worden aangemoedigd om ongeoorloofde toegang tot of kwaadwillig gedrag bij eigendommen van Atlassian te melden. |
|
| Partij Klant | Rol Beveiligings- contactpersoon | Beschrijving Als een incident met betrekking tot een klant wordt bevestigd, wordt de beveiligingscontactpersoon bij de klant op de hoogte gebracht. De beveiligingscontactpersoon is meestal de technische contactpersoon van het account, maar kan wisselen wanneer de klant een speciaal beveiligingsteam heeft. De beveiligingscontactpersoon zorgt ervoor dat de klant het incident op de juiste manier beheert buiten de omvang van eigendommen van Atlassian. |
Verantwoordelijkheden
We definiëren onze verantwoordelijkheden voor het beheer van beveiligingsincidenten met behulp van het RACI-model. Hoewel we er alles aan doen om aan onze gedefinieerde verantwoordelijkheden te voldoen, zijn klanten uiteindelijk zelf verantwoordelijk voor de beveiliging van hun gegevens volgens de Atlassian-klantovereenkomst.
- Verantwoordelijk - De partij voert het werk uit om de taak te volbrengen.
- Toerekenbaar - De partij is uiteindelijk zelf verantwoordelijk voor een juiste en grondige afronding van de activiteit.
- Geraadpleegd - De partij wiens mening wordt gevraagd en met wie tweerichtingscommunicatie plaatsvindt.
- Geïnformeerd - De partij die op de hoogte wordt gehouden van de voortgang en met wie er slechts eenrichtingscommunicatie plaatsvindt.
| | Activiteit | Atlassian | Klant |
|---|---|---|---|
|
| Activiteit Detectie | Atlassian Verantwoordelijk | Klant
|
|
| Activiteit Triage | Atlassian Verantwoordelijk | Klant
|
|
| Activiteit Onderzoek | Atlassian Verantwoordelijk | Klant
|
|
| Activiteit Inperking | Atlassian Verantwoordelijk | Klant
|
|
| Activiteit Uitbanning | Atlassian Verantwoordelijk | Klant Geïnformeerd |
|
| Activiteit Herstel | Atlassian Verantwoordelijk | Klant Geïnformeerd |
|
| Activiteit Melding (aan klant) | Atlassian Verantwoordelijk | Klant Geïnformeerd |
|
| Activiteit Melding (aan Atlassian) | Atlassian Geïnformeerd | Klant Verantwoordelijk |
|
| Activiteit Verbetering | Atlassian Verantwoordelijk | Klant
|
|
| Activiteit Testen | Atlassian Verantwoordelijk | Klant
|
|
| Activiteit Externe rapportage (wetshandhaving en compliance) | Atlassian Aansprakelijk Verantwoordelijk | Klant Geïnformeerd |
|
| Activiteit Publicatie van samengevoegde gegevens | Atlassian Verantwoordelijk | Klant Geïnformeerd |