Che cos'è la retrospettiva Cyber Security Ops?
La retrospettiva Cyber Security Ops riunisce il team delle operazioni di sicurezza per ripercorrere l'ultimo ciclo: cosa avete rilevato, come avete risposto e come vi siete ripresi. È pensata per analisti SOC, incident responder, threat hunter e security engineer che vogliono trasformare in correzioni concrete le lezioni apprese da alert, incidenti e quasi-incidenti. La board ha quattro colonne. Minacce e incidenti ricostruisce cosa è successo. Controlli e successi registra gli strumenti e i processi che hanno funzionato. Lacune e vulnerabilità raccoglie i punti ciechi e le debolezze emerse. Azioni e hardening è dove concordate cosa cambiare, con un responsabile per ogni attività. Se lavorate già con MITRE ATT&CK o NIST CSF, mappate i risultati su questi framework per seguire i progressi da un ciclo all'altro. Mantenete un approccio blameless. Le persone parleranno dell'alert che si sono lasciate sfuggire o del quasi-incidente che hanno causato solo se sanno che la discussione riguarda sistemi e processi. Organizzatela dopo un incidente grave, alla fine di un turno di reperibilità o con cadenza regolare, e verificate le azioni del ciclo precedente prima di aggiungerne di nuove.
Formato della retrospettiva Cyber Security Ops
Minacce e incidenti
Quali minacce o incidenti abbiamo gestito in questo ciclo?
Elencate gli alert, gli eventi e gli incidenti gestiti dal team in questo periodo. Chiedete alle persone di attenersi a cosa è successo, quando e su cosa ha avuto impatto, senza attribuire colpe. In questo modo tutti partono dagli stessi fatti prima di discutere di cosa ha funzionato.
Controlli e successi
Quali difese, strumenti o processi hanno funzionato bene?
Indicate i controlli, le automazioni e i passaggi di consegne che vi hanno protetto, specificando quale strumento o processo ha fatto il lavoro. In un team di sicurezza è facile trascurare i successi, e metterli per iscritto vi dice cosa continuare a fare.
Lacune e vulnerabilità
Dove abbiamo avuto punti ciechi o debolezze?
Qui emergono lacune di rilevamento, limiti degli strumenti, attriti nei processi e rischi non ancora patchati. Mantenete un approccio blameless perché le persone sollevino anche i temi scomodi. Quello che finisce in questa colonna di solito determina gran parte del piano d'azione.
Azioni e hardening
Cosa faremo per migliorare la nostra postura di sicurezza?
Trasformate le lacune in azioni con un responsabile e una scadenza. Ordinatele per probabilità e impatto, e collegate ogni azione alla lacuna che chiude, così la prossima volta potrete verificare i progressi.
Quando utilizzare questa analisi retrospettiva
- Dopo un incidente di sicurezza o una violazione significativa, per raccogliere le lezioni apprese senza cercare colpevoli.
- Alla fine di un turno di reperibilità o di una rotazione SOC, per rivedere gli alert e i passaggi di consegne.
- Ogni mese o trimestre, per seguire le lacune ricorrenti e verificare se le correzioni del ciclo precedente hanno tenuto.
- Dopo un'esercitazione tabletop, un'attività di red team o un penetration test, per concordare cosa significano i risultati per il vostro team.
- Quando avete introdotto nuovi strumenti o pratiche SecOps e volete verificare che funzionino.
Domande suggerite per rompere il ghiaccio
- Se fossi un hacker per un giorno, quale sarebbe la tua arma preferita e perché?
- Qual è il tentativo di phishing più creativo che tu abbia mai visto, e ha quasi funzionato?
Desiderate un esercizio di riscaldamento che la vostra squadra possa svolgere, anziché limitarsi a rispondere ad alta voce? Sfogliate gli esercizi per rompighiaccio gratuiti →
Idee e consigli per la vostra riunione di retrospettiva
- Mantenete un approccio blameless. Parlate di sistemi e processi, non di persone, così chiunque si sentirà libero di ammettere errori e quasi-incidenti.
- Mappate i risultati su un framework come MITRE ATT&CK o NIST CSF, così i miglioramenti sono facili da seguire nel tempo.
- Invitate analisti, responder, engineer e un manager. Ogni ruolo vede punti ciechi che agli altri sfuggono.
- Fate scrivere le note prima in privato o in forma anonima, così anche gli analisti junior possono segnalare problemi senza farsi condizionare dall'anzianità.
- Date un tempo fisso a ogni colonna e riservate l'ultima parte della sessione a trasformare le lacune in azioni con responsabili e scadenze.
- Seguite le azioni da una retrospettiva all'altra, così le vulnerabilità ricorrenti non si trascinano in silenzio.
Domande frequenti
Quando conviene fare una retrospettiva Cyber Security Ops?
Quanto dura una retrospettiva Cyber Security Ops?
In cosa si differenzia da un normale postmortem di un incidente?
Come manteniamo la retrospettiva blameless?
Chi dovrebbe partecipare a una retrospettiva Cyber Security Ops?
Possiamo collegare i risultati ai framework di sicurezza?
Modelli correlati
Festeggia un traguardo del team e pianifica l'anno che verrà.
Retrospettiva del Viaggio dell'Eroe
Racconta il tuo progetto come la missione di un eroe
Retrospettiva Missione Agile di Capitan America
Rivedete l'ultima missione del team e pianificate la prossima
Retrospettiva Calcio
Analizzate lo sprint del team come una partita di calcio.