Traduzido do 日本語 • Ver original 
Primeiro você precisa entender: o propósito do CSIRT
A Equipe de Resposta a Incidentes de Segurança Informática (CSIRT) é uma
"Uma organização que se prepara e responde a incidentes de segurança para proteger seus ativos de informação."
Em outras palavras, o objetivo não é ter uma "equipe de segurança" profissional,
A essência é não entrar em pânico em caso de incidente e ter um sistema para minimizar os danos.
Modelo CSIRT com Configuração Mínima
No caso de pequenas e médias empresas, é realista focar nas seguintes três funções.
| Funções | Principais Responsabilidades | Exemplos de Cessionários |
|---|---|---|
| Líder do CSIRT (Gerente) | Decisão de política organizacional, contato externo (parceiros de negócios, polícia, JPCERT, etc.) | Oficial de Sistemas de Informação, equivalente ao CISO |
| **Manipulador de Incidentes | ** Detecção, Resposta Inicial, Contenção e Recuperação | SE, Representante SOC interno, Fornecedor terceirizado |
| Comunicações | Comunicações Internas, Relatórios de Gestão, Relações Públicas | Departamentos Administrativos, Assuntos Gerais, Recursos Humanos, etc. |
💡 É aceitável que uma pessoa assuma múltiplos papéis. O importante é:
Está claro quem responderá a quê, quando e como.
Aproveite ativamente links externos
Se houver escassez de mão de obra e expertise, as seguintes colaborações externas são eficazes.
- Serviço SOC/serviço MDR: terceirização do monitoramento e resposta primária
- Colaboração com o fornecedor CSIRT: Compartilhamento de informações sobre incidentes de produtos
- Reporte e consultoria ao JPCERT/CC/IPA: Ponto de contato oficial no Japão
- MS&AD Interrisk Research Institute, organizações ISAC, etc.: Compartilhamento de informações entre indústrias
Com a ajuda de forças externas, mire na menor unidade da sua empresa que possa tomar decisões e decisões iniciais.
Três Elementos a Manter Primeiro
Os três pontos seguintes deveriam estar pelo menos em vigor no início do lançamento do CSIRT.
- Sistema de contato: Quem e como contatar em uma emergência (interna/externa)
- Procedimento de Resposta (Manual de Incidentes): Resposta Inicial, Contenção e Fluxo de Reporte
- Sistema de registro e monitoramento: Fundamentos para detecção (MDE, firewall, monitoramento de e-mail, etc.)
Só de ter essas coisas já te faz um grande passo à frente do estado de "nada está decidido".
Comece pequeno, cresça aos poucos
O CSIRT não é um "faça uma vez, acabou", mas sim um time que cultiva.
- Realizar simulações de resposta a incidentes até mesmo uma vez por ano
- Regularizar o compartilhamento de informações (alertas IPA e JPCERT)
- Melhorar gradualmente os registros e as regras de detecção
Essa repetição leva a uma CSIRT eficaz.
Conclusão
| Pontos | Conteúdo |
|---|---|
| Propósito | Criar um sistema que possa responder a incidentes sem pânico |
| Composição Mínima | Sistema de três funções: pessoa responsável, pessoa responsável pela correspondência e pessoa responsável pela ligação |
| Colaboração Externa | Utilizando Ativamente SOC e JPCERT |
| Passo 1 | Comece preparando um manual de procedimentos e um sistema de contato |
Em vez de buscar um "CSIRT perfeito", crie um "CSIRT que funcione mesmo no mínimo".
Enquanto adquire experiência real em manuseio, vamos amadurecer para um formato que se encaixe na organização.
Se você tiver algum problema com a configuração do CSIRT, fique à vontade para contatar a Colorkrew Security!