有消息称，多达1.43亿美国人的数据通过消费信贷报告机构Equifax 被窃取，这一消息再次将数据安全推入了新闻。
虽然这次攻击特别令人震惊——被盗数据包括社会安全号码、出生日期、驾照号码和一些信用卡号码——但每一次数据泄露都有可能对生活和企业造成严重破坏。
数据泄露的幕后：安全管理团队的5个问题
消费者想知道他们能做什么，而且重要的是，他们想知道他们委托的公司做了什么，以保证他们的安全。
学习Rackspace如何处理数据安全，为了学习Rackspace如何处理数据安全，我与Rackspace管理安全运营总监Daniel Clayton和我们客户安全操作中心的高级经理Travis Mercier一起商谈，了解所有公司都应该遵循的提高操作弹性的经验，以便能够更好地应对日后类似的攻击。
Clayton在为美国国家安全局和英国军方建立和运行了20多年的运营后，来到Rackspace，负责监督全球客户安全操作和Rackspace管理安全的战略。Mercier拥有13年的网络安全经验，他负责公司的日常安全运营。
在一次重大的突破之后，幕后发生了什么？首先，会发生什么？
尽管每个安全操作都是不同的，但您首先要做的是评估情况——了解您失去了什么，谁需要从各个部门拉进来，然后开始调查事实。
下一步是决定谁、什么、什么时候、在哪里、为什么以及如何做。具体地说：
数据泄露背后的幕后操作者是谁？这有助于找出原因，以及如何帮助理解动机和战术、技术和程序，或TTPs。在这一步中不要花费太多时间是很重要的，因为您冒着被拒绝回答其他关键问题的风险，虽然归因是有帮助的，但并不是所有的事情都在调查中。
什么数据被拿走了，数据的范围被泄露了？这可以帮助您了解对手和他们的动机是什么数据，从而开始寻找对手可能在哪里进行了投票，或者对手可能试图进入的其他地方。
这一数据是何时发生的？这个活动什么时候开始的，它持续了多长时间？这将有助于通过缩小安全团队分析的时间范围来进行调查。它避免了大范围捕捉——在更大的一段时间内回顾所有的活动。
泄露的数据存储在哪里？这将有助于限制调查的范围，并将重点放在特定的一套系统上，从而极大地缩短开始调查的时间，并开始确定下一步的行动。
为什么对手要攻击这些系统？这实际上是为了更好地理解对手的动机，这有助于确定对手是谁，以及他们想要达到的目标是什么类型的数据和目标。
他的对手是如何获得被入侵的系统和应用程序的？这可以说是最重要的问题，也是解决黑客攻击和切断攻击者权限的关键。了解攻击者如何能够利用环境，使组织能够部署对抗措施和修复漏洞，以阻止当前的攻击者，并帮助阻止其他攻击者使用类似的技术来获得访问权。
一旦所有的决定都确定下来，下一步就是找出阻止或减缓出血的最好方法。这将取决于对手的情况，以及此次攻击活动的持续时间。如果您知道这是他们第一次进入到环境中，并且只在24小时内或更少的时间内采取最小的行动，那么最好立即切断他们的联系。但是，如果这个漏洞已经持续了6个月或更长时间，那么很有可能他们有多种方式重新回到环境中，您需要在充分参与之前对其进行评估。
如果妥协发生较大的一段时间，它是把一些缓和的关键控制，但您要小心，您可能不想完全切断对手，因为如果您控住他们，他们可以休眠，或者更糟的是，成为恶意和毁灭证据。这真的会使调查复杂化。
一家公司是如何组织补救工作的？他们如何传达所发生的事情？
在这种情况下，有三种沟通方式是非常重要的。首先，您需要一个内部沟通计划。在组织内部会有多个团队来响应一个缺口。也许这是因为您需要对某个特定系统进行取证，或者您需要在安全和IT团队之间进行协作。无论它是什么，一个内部的通讯计划必须到位，必须被理解并且必须被执行，这样能让每个人都在一起工作。
其次，您必须考虑如何告诉您的客户。有没有可能发生的任何事情都在影响着他们，而不是他们的数据在那里，但是对手是否能够从您的环境转移到客户的环境中呢？您是否需要积极地从事件响应的角度向您的客户传达信息？
最后，还有法律方面的问题。您有义务告诉别人，在透明度方面做什么是正确的，您什么时候打电话，什么时候和媒体说话等等。
很多时候，安全人员会认为最坏的情况——您会看到一些东西，并且确信有数据外的过滤，之后就会发现事实并非如此。我已经见过很多次了，所以很重要的一点是，要把沟通的内容扣好，清楚地表达您的意思，否则您会让事情变得更糟。
第一个24-36小时真的很关键吗？
TM：是的。现在是时候让所有合适的党派进入一个战争房间-一个大型的会议室或者一个数字平台，人们可以谈论这个问题。
我们的目标是保持团队之间的沟通。通常情况下，这些都是带外通信的类型，因为如果您的环境中有对手，您就不知道电子邮件或其他通信方式是否已经被破坏了。因此，制定一个关于如何向您的团队泄露信息的行动计划是非常关键的。
我们可以做些什么来帮助准备违约呢？
DC：当我在纽约解决问题时，Sean Wessman，这位在安永的汽车和交通安全主管，描述了他所做的一件事;当他到达大楼的时候，人们在大厅里哭着，因为他们认为这将是公司的世界末日。人们对可能犯的错误作出情绪化的反应并不罕见——人们会把它看成是自己的错误。
如果您还没有准备好，那就是在这段时间里，人们不会直接思考，事情可能会导致诉讼。有人试图掩盖一些事情，有人试图去解决一些问题，却不知道他们在做什么——这些事情会反过来影响您。您必须试着为每一种可能的情况做好准备，所以当您做出反应时，它就像一个训练，它是肌肉记忆，而不是情感反应，这是大多数时候发生的事情。
我的建议是，不要只考虑安全团队，还要考虑如何支持安全团队，以及所有需要发生的次要问题，以使事件响应有效。所以当人们不得不处理它的时候，他们并不是第一次这样做。它不是“哦，我的上帝”它是“哦，我的上帝，我知道该怎么做”
企业如何提高运营弹性？
一般来说，我们认为三个层次的操作是成熟的，这是您从一个人，过程和技术的角度所实现的。这是一种有效的能力，也就是您能发挥您所建立的潜能的能力。还有弹性，也就是您在压力和压力下的能力。
在这些情况下，弹性是重要的。这就是事情出错的地方，人们会变得情绪化、疲惫，做出糟糕的决定。在我所有的经验中，我没有找到比实践更好的方法来准备。大多数公司根本就不练习——他们把东西放在他们认为会保护他们的地方，然后就交叉双指，但是当事情不顺利的时候，不要想该怎么做。如果您没有仔细考虑过，并处理了当您执行某件事时将会发生的事情，那么您就真的相信运气了。
即使是最具前瞻性的公司，也会认真对待战争游戏，十次中有九次，他们只是在测试安全操作中心。他们没有在企业级测试他们的响应。