Incident Response Plan Template: Prepare, Detect, Respond, Recover

आईबीएम की डेटा उल्लंघन रिपोर्ट से पता चलता है कि घटना प्रतिक्रिया योजनाओं और टीमों वाले संगठन उल्लंघन की लागत को औसतन $2.66 मिलियन कम करते हैं और उल्लंघनों की पहचान बिना उल्लंघन वाले लोगों की तुलना में 54 दिन तेजी से करते हैं। फिर भी 77 प्रतिशत संगठनों के पास लगातार लागू घटना प्रतिक्रिया योजना नहीं है।

एक घटना प्रतिक्रिया (आईआर) योजना कोई दस्तावेज़ नहीं है जो शेल्फ पर रखी रहती है। यह एक प्लेबुक है जिसे आपकी टीम जानती है, अभ्यास कर चुकी है और दबाव में उस पर अमल कर सकती है। यह मार्गदर्शिका एनआईएसटी ढांचे का पालन करते हुए एक पूर्ण, अनुकूलन योग्य आईआर योजना टेम्पलेट प्रदान करती है।

---

भाग 1: योजना अवलोकन

उद्देश्य

यह घटना प्रतिक्रिया योजना साइबर सुरक्षा घटनाओं का पता लगाने, प्रतिक्रिया देने, रोकथाम करने और उनसे उबरने के लिए प्रक्रियाएं स्थापित करती है। यह एक समन्वित, कुशल प्रतिक्रिया सुनिश्चित करता है जो क्षति और पुनर्प्राप्ति समय को कम करता है।

दायरा

यह योजना संगठन के भीतर सभी सूचना प्रणालियों, नेटवर्क, डेटा और उपयोगकर्ताओं को कवर करती है, जिनमें शामिल हैं:

• ऑन-प्रिमाइसेस और क्लाउड इंफ्रास्ट्रक्चर
• कर्मचारी और ठेकेदार उपकरण
• संगठनात्मक डेटा को संसाधित करने वाले तृतीय-पक्ष सिस्टम
• आईटी परिसंपत्तियों को प्रभावित करने वाली भौतिक सुरक्षा घटनाएं

घटना वर्गीकरण

---

भाग 2: भूमिकाएँ और जिम्मेदारियाँ

घटना प्रतिक्रिया टीम

आरएसीआई मैट्रिक्स

आर = जिम्मेदार, ए = जवाबदेह, सी = परामर्श, आई = सूचित

---

भाग 3: घटना प्रतिक्रिया के छह चरण

चरण 1: तैयारी

कोई भी घटना घटित होने से पहले तैयारी होती है.

तकनीकी तैयारी:

• सुरक्षा निगरानी उपकरण तैनात और कॉन्फ़िगर किए गए (एसआईईएम, ईडीआर, आईडीएस/आईपीएस)
• सभी महत्वपूर्ण प्रणालियों से लॉग संग्रह केंद्रीकृत
• बैकअप सिस्टम का परीक्षण किया गया (पिछले 30 दिनों के भीतर सत्यापित पुनर्स्थापना)
• नेटवर्क आरेख वर्तमान और ऑफ़लाइन पहुंच योग्य
• परिसंपत्ति सूची वर्तमान (सभी सिस्टम, एप्लिकेशन, डेटा स्टोर)
• फोरेंसिक टूलकिट इकट्ठा (इमेजिंग उपकरण, अवरोधक लिखें, हिरासत प्रपत्रों की श्रृंखला)

संगठनात्मक तैयारी:

• आईआर टीम के सदस्यों की पहचान की गई और उन्हें प्रशिक्षित किया गया
• वर्तमान संपर्क सूची (समय के बाद और सप्ताहांत के नंबरों सहित)
• संचार टेम्पलेट तैयार किए गए (ग्राहक, नियामक, मीडिया, कर्मचारी)
• कानूनी बाध्यताएँ प्रलेखित (क्षेत्राधिकार के अनुसार अधिसूचना आवश्यकताएँ)
• पिछले 6 महीनों के भीतर आयोजित टेबलटॉप अभ्यास
• तृतीय-पक्ष आईआर अनुचर (फोरेंसिक फर्म, कानूनी फर्म)
• साइबर बीमा पॉलिसी की समीक्षा की गई और वर्तमान

चरण 2: पता लगाना और विश्लेषण करना

पता लगाने के स्रोत:

प्रारंभिक ट्राइएज प्रश्न:

1. क्या हुआ? (क्या पता चला, किसने, कब?)
2. कौन सी प्रणालियाँ प्रभावित हैं? (कार्यक्षेत्र मूल्यांकन)
3. क्या घटना अभी भी सक्रिय है? (चल रहा बनाम ऐतिहासिक)
4. कौन सा डेटा खतरे में हो सकता है? (वर्गीकरण स्तर)
5. व्यवसाय पर क्या प्रभाव पड़ता है? (परिचालन व्यवधान)
6. क्या यह किसी नियामक अधिसूचना आवश्यकताओं को ट्रिगर करता है?

पहले मिनट से दस्तावेज़ीकरण:

Incident ID: INC-[YEAR]-[SEQUENTIAL]
Date/Time Detected: [YYYY-MM-DD HH:MM UTC]
Detected By: [Person/System]
Detection Method: [Alert/Report/Discovery]
Initial Classification: [P1/P2/P3/P4]
Affected Systems: [List]
Initial Description: [What is known]
Assigned To: [Incident Commander]

चरण 3: रोकथाम

अल्पकालिक रोकथाम (रक्तस्राव रोकना):

दीर्घकालिक रोकथाम (जांच करते समय):

नियंत्रण निर्णय मैट्रिक्स:

चरण 4: उन्मूलन

घटना के मूल कारण को दूर करें.

उन्मूलन जांच सूची:

• सभी मैलवेयर/बैकडोर को पहचानें और हटाएं
• उस भेद्यता को ठीक करें जिसका शोषण किया गया था
• सभी समझौता किए गए क्रेडेंशियल्स (पासवर्ड, एपीआई कुंजी, प्रमाणपत्र) रीसेट करें
• प्रभावित सिस्टम पर कॉन्फ़िगरेशन की समीक्षा करें और उसे सख्त करें
• समझौता के संकेतकों (आईओसी) के लिए सभी प्रणालियों को स्कैन करें
• सत्यापित करें कि हमलावर दृढ़ता तंत्र हटा दिए गए हैं
• यह पुष्टि करने के लिए लॉग की समीक्षा करें कि किसी अन्य सिस्टम से समझौता नहीं किया गया है

चरण 5: पुनर्प्राप्ति

सिस्टम और संचालन को सामान्य स्थिति में पुनर्स्थापित करें।

पुनर्प्राप्ति प्रक्रिया:

1. सत्यापित करें कि उन्मूलन पूरा हो गया है (पुनः स्कैन करें, लॉग की समीक्षा करें)
2. स्वच्छ बैकअप से सिस्टम पुनर्स्थापित करें (यदि आवश्यक हो)
3. उत्पादन पर लौटने से पहले सिस्टम अखंडता को सत्यापित करें
4. 30 दिनों के लिए उन्नत अलर्ट के साथ पुनर्प्राप्त सिस्टम की निगरानी करें
5. धीरे-धीरे सामान्य संचालन बहाल करें (महत्वपूर्ण सिस्टम पहले)
6. डेटा अखंडता सत्यापित करें (बैकअप से तुलना करें, संशोधनों की जांच करें)
7. पुष्टि करें कि व्यवसाय संचालन सामान्य रूप से कार्य कर रहा है

चरण 6: घटना के बाद की समीक्षा

घटना बंद होने के 5 व्यावसायिक दिनों के भीतर आचरण करें।

समीक्षा एजेंडा:

1. समयरेखा पुनर्निर्माण --- क्या हुआ, कब और किस क्रम में हुआ?
2. पता लगाने की प्रभावशीलता --- घटना का पता कैसे चला? क्या इसका पता पहले लगाया जा सकता था?
3. प्रतिक्रिया प्रभावशीलता --- क्या अच्छा हुआ? क्या नहीं किया?
4. मूल कारण विश्लेषण --- अंतर्निहित कारण क्या था? (सिर्फ तकनीकी भेद्यता नहीं, बल्कि प्रक्रिया/नीति में अंतर)
5. सीखे गए सबक --- परिणामस्वरूप हम क्या बदलेंगे?
6. कार्रवाई आइटम --- मालिकों और समय सीमा के साथ विशिष्ट सुधार

---

भाग 4: संचार टेम्पलेट्स

आंतरिक संचार (कर्मचारी अधिसूचना)

Subject: Security Incident Update - [Date]

Team,

We have identified a security incident affecting [brief description].

What we know:
- [Factual summary of the situation]
- [Systems/data potentially affected]

What we are doing:
- [Response actions taken]
- [Timeline for resolution]

What you should do:
- [Specific employee actions, e.g., change passwords]
- [Who to contact with questions]

We will provide updates every [frequency].

[Incident Commander Name]

ग्राहक अधिसूचना (यदि आवश्यक हो)

Subject: Important Security Notice from [Company]

Dear [Customer],

We are writing to inform you of a security incident that may have
affected your data. We take the security of your information seriously
and want to be transparent about what occurred.

What happened: [Brief, factual description]
When: [Date range of the incident]
What information was involved: [Specific data types]
What we have done: [Response and remediation actions]
What you can do: [Recommended customer actions]

For questions, contact our dedicated response team at [contact info].

[Executive Name and Title]

---

भाग 5: योजना का परीक्षण

टेबलटॉप व्यायाम टेम्पलेट

परिदृश्य: "एक कर्मचारी फ़िशिंग ईमेल में एक लिंक पर क्लिक करता है। दो घंटे बाद, सुरक्षा टीम कर्मचारी के कार्य केंद्र से एक अज्ञात बाहरी आईपी पर एन्क्रिप्टेड ट्रैफ़िक का पता लगाती है।"

प्रत्येक चरण पर चर्चा प्रश्न:

1. सबसे पहले किसे सूचित किया जाता है? कैसे?
2. इसे किस गंभीरता के रूप में वर्गीकृत किया गया है?
3. हम तुरंत कौन सी रोकथाम कार्रवाई करते हैं?
4. हम कौन से साक्ष्य सुरक्षित रखते हैं?
5. व्यापक संगठन से कौन संवाद करता है?
6. हम कानूनी परामर्शदाता को कब शामिल करते हैं?
7. क्या यह नियामक अधिसूचना को ट्रिगर करता है?

त्रैमासिक रूप से टेबलटॉप अभ्यास आयोजित करें। वार्षिक रूप से पूर्ण सिमुलेशन अभ्यास।

---

संबंधित संसाधन

• उल्लंघन अधिसूचना और घटना प्रतिक्रिया --- नियामक अधिसूचना आवश्यकताएँ
• शून्य विश्वास कार्यान्वयन गाइड --- घटनाओं को रोकना
• सुरक्षा जागरूकता प्रशिक्षण --- मानव-जनित घटनाओं को कम करना
• प्रवेश परीक्षण गाइड --- हमलावरों से पहले कमजोरियों का पता लगाना

---

एक घटना प्रतिक्रिया योजना अपरिहार्य के विरुद्ध आपके संगठन की बीमा पॉलिसी है। जब कोई उल्लंघन होता है, तो नियंत्रित प्रतिक्रिया और अराजकता के बीच तैयारी का अंतर होता है। घटना प्रतिक्रिया योजना और सुरक्षा मूल्यांकन सेवाओं के लिए ECOSIRE से संपर्क करें।