美國聯(lián)邦能源管理委員會(FERC)和北美電力可靠性公司(NERC)發(fā)布了一項有關(guān)電力企業(yè)的網(wǎng)絡(luò)事件響應(yīng)和恢復(fù)優(yōu)秀實踐的研究。

報告原文可查看：

https://cms.ferc.gov/sites/default/files/2020-09/FERC%26NERC_CYPRES_Report.pdf

據(jù)悉，該報告主要基于美國八家電力公司的專家共享的信息，能夠改善事件響應(yīng)和事件恢復(fù)規(guī)劃，以確保在發(fā)生網(wǎng)絡(luò)安全事件時電氣系統(tǒng)的可靠性。

一般來說，建立清晰的事件響應(yīng)規(guī)劃是一項復(fù)雜的任務(wù)，同時要針對組織的使命、規(guī)模、結(jié)構(gòu)和職能進行個性化設(shè)置，但通常也會包含以下共同要素：

• 定義范圍(適用于誰，涵蓋了哪些內(nèi)容，以及在什么場景背景下)
• 定義計算機安全事件和攻擊事件、人員角色和職責、響應(yīng)權(quán)限(例如斷開設(shè)備的權(quán)限)、報告要求，外部通信和信息共享的要求和指南，以及性能評估的程序。

為了制定出IRR(事件響應(yīng)和恢復(fù))計劃的最佳實踐，可以從幾個階段循序漸進地進行。

在準備階段，必須包括對人員角色的明確定義，促進問責制，并在適當?shù)那闆r下授權(quán)人員采取行動避免不必要的延誤。同時，應(yīng)該積極利用技術(shù)和自動化工具，并且培養(yǎng)訓(xùn)練有素的人員，不斷提升人員的技能，如需要從過去的網(wǎng)絡(luò)安全事件/演習(xí)測試中學(xué)習(xí)經(jīng)驗，彌補不足。

在檢測和分析階段，建議使用安全基準來檢測潛在的網(wǎng)絡(luò)事件，并采用決策樹或流程圖來快速評估是否達到特定的風(fēng)險閾值，以及某些情況是否符合安全事件條件。

在遏制和消除階段，組織應(yīng)該對潛在威脅、潛在影響以及為緩解威脅而部署的對策有深入的了解，以及分析前一階段做出的決定的影響，如遏制威脅是需要斷開外部所有連接，那么就需要徹底了解這類決定的潛在影響。同時，要考慮到不確定時長的事件響應(yīng)對于企業(yè)資源的影響。

在事后活動中，從先前事件中吸取經(jīng)驗教訓(xùn)，并進行模擬活動，以找出內(nèi)部IRR計劃中明顯的不足之處。

最后，IRR計劃是應(yīng)對網(wǎng)絡(luò)威脅的重要策略，可以減輕網(wǎng)絡(luò)攻擊者擁有的自然優(yōu)勢。當響應(yīng)團隊準備好檢測、控制并在適當時消除網(wǎng)絡(luò)威脅，才能保證業(yè)務(wù)遭受攻擊的影響最小化。