ابدأ بسجل حادث واحد
يجمع السجل مصدر الإشارة ووقت الاكتشاف والخدمات والمالك والخطورة والمناطق والمستخدمين والبيانات والموردين. ويرافق معرف واحد الحدث في المراقبة ومكتب الخدمة والاتصالات والسجلات والنماذج التنظيمية.
عندما تحتفظ الفرق بجداول زمنية منفصلة، قد تستغرق مطابقة الحقائق بعد الحادث وقتاً أطول من استعادة الخدمة.
أتمت الحقائق لا قرار الجوهرية
تجمع الأنظمة المدة والعملاء المتأثرين والمعاملات والوظائف غير المتاحة وانتشار المواقع. لكن دوراً مخولاً يؤكد التصنيف وفق الحدود الحالية والسياق. احفظ قيم المؤشرات وإصدار القواعد ومبررات القرار.
إعادة التقييم ضرورية، فقد يصبح حدث محدود كبيراً مع وصول أدلة جديدة.
احتفظ بخط زمني للأعمال
سجل القرارات إلى جانب الأحداث التقنية: من أعلن الحادث وغير الخطورة وفعل فريق الأزمة وأبلغ العميل أو المورد ووافق على الحل المؤقت وأكد الاستعادة. زامن التوقيت ولا تدع ملاحظة يدوية تستبدل السجل الأصلي.
اربط كل خطوة بدليل مثل حدث SIEM أو سجل مراقبة أو تذكرة أو ملاحظة اتصال أو رسالة مورد أو بصمة ملف.
اربط التقارير بسير العمل
تستخدم قوالب التقرير الأولي والمرحلي والنهائي نموذج بيانات واحداً. اضبط المواعيد والمستلمين والحقول والموافقات. يمكن للنظام تجهيز مسودة، لكن المالك القانوني والتشغيلي يراجعها قبل الإرسال.
قد تختلف تفاصيل إشعار الجهة المنظمة والعميل والإدارة، لكن الحقائق والخط الزمني لا تتناقض.
أشرك الموردين الخارجيين
ينبغي للعقود ضمان حقائق سريعة واتصال دائم ودعم التحقيق وحفظ السجلات وتحديث الحالة. تظل المؤسسة مسؤولة عن التصنيف والتواصل حتى لو كان السبب لدى المزود.
أغلق الحلقة بالتحسين
يربط التحليل النهائي السبب وعوامل الانتشار وفاعلية الاستجابة بإجراءات تصحيح محددة. لكل مهمة مالك وموعد وتحقق. تصبح التقارير مفيدة عندما تغير الهندسة أو المراقبة أو الإجراءات أو العقود، لا عندما تحفظ الحادث فقط.