知識內容

• RC 復原

  • RC 還原受資安事件影響的資產和營運

    • ID 識別組織的資產與資訊安全風險

    • PR 採取保護措施降低風險、可能性、影響

    • DE 持續監控和分析，及時發現淺在事件

    • RS 確定發生後根據事件回應計畫採取行動

    • RC 從事件中及時恢復正常運作降低影響

  • 事件復原計畫執行 (RC.RP)

    • 執行復原活動以確保受資安事件影響的系統和服務運作可用性

  • 事件復原溝通 (RC.CO)

    • 與內部和外部各方協調復原行為與流程，確保資訊透明

• 事件復原計畫執行
  (RC.RP)

  • RC.RP-01
    一旦從事件回應流程啟動
    就執行事件回應計畫的
    復原部分

    • 目的

      • 開始復原受影響的系統和服務，使其恢復正常運作

    • 核心

      • 復原是回應計畫一環，事件回應流程啟動後就開始

    • 措施

      • 一旦滿足復原啟動標準，立即啟動事件復原

      • 事件回應與復原團隊需緊密合作，確保順利

      • 優先復原關鍵系統和服務，逐步恢復其他的

    • 例子

      • 在成功控制資料洩漏事件後，事件回應團隊啟動事件復原計畫，優先復原受影響資料庫和應用程式，並逐步恢復其他系統和服務

  • RC.RP-02
    選擇、界定範圍、
    排定優先順序和
    執行復原動作

    • 目的

      • 以事件具體情況和組織優先順序，選擇執行最有效

    • 核心

      • 復原需根據事件影響範圍、系統和服務關鍵程度、可用的資源等因素進行調整

    • 措施

      • 評估受影響系統和服務確定需採取復原動作

      • 根據業務需求和資源限制制定復原優先順序

      • 復原前先進行測試和驗證確保有效和安全性

    • 例子

      • 在勒索軟體攻擊事件，資安團隊選擇從備份中復原資料作為主要復原動作，並將其排在最高優先順序，同時也考慮了其他復原選項，如與攻擊者協商或使用資料解密工具

  • RC.RP-03
    在使用備份和
    其他復原資產進行復原前
    先驗證其完整性

    • 目的

      • 確保用於復原的資料和系統沒有被損壞或竄改

    • 核心

      • 被損壞的復原資產會導致復原失敗和加劇事件損害

    • 措施

      • 用備份進行復原前，先驗證其完整和可用性

      • 使用防毒軟體和檔案完整性檢查工具，
        確保復原資產沒有被惡意軟體感染或竄改

      • 定期測試備份和復原流程，確保需要時可用

    • 例子

      • 在系統崩潰事件中，IT 團隊使用備份進行復原前
        先驗證備份資料的完整性和時間戳記
        確保其可用於復原受影響的系統

  • RC.RP-04
    考慮關鍵任務功能和
    資安風險管理
    以建立事件後的運作常態

    • 目的

      • 在事件後恢復正常也要確保安全性和持續營運能力

    • 核心

      • 事件後環境可能與事件前不同，需調整策略和措施

    • 措施

      • 評估事件對組織影響並更新風險評估和策略

      • 加強系統和網路的安全性，修補已知的漏洞

      • 檢討事件回應和復原流程，找出需改進地方

    • 例子

      • 在遭受 DDoS 攻擊，公司決定升級網路基礎設施
        並實施更嚴格的存取控制策略，以提高網路安全性
        也檢討了事件回應計畫，加強與供應商溝通機制

  • RC.RP-05
    驗證已復原資產的
    完整性、復原系統和服務
    並確認正常運作狀態

    • 目的

      • 確保復原後系統正常運作並沒有受到事件持續影響

    • 核心

      • 復原後的系統和服務需要經過全面的測試和驗證，才能確保其安全性

    • 措施

      • 對復原後的系統進行功能、安全和效能測試

      • 監控系統和網路的活動，及早發現異常行為

      • 與使用者確認系統和服務是否正常運作

    • 例子

      • 在復原受勒索軟體攻擊影響的伺服器後，IT 團隊對伺服器進行全面的安全掃描和漏洞測試，並監控伺服器網路流量和日誌，確保伺服器沒有再被感染

  • RC.RP-06
    應用判斷
    事件復原結束的標準
    並完成事件相關文件

    • 目的

      • 正式結束事件復原並記錄事件相關資訊和經驗教訓

    • 核心

      • 應明確定義事件復原結束標準，確保必要復原工作

    • 措施

      • 確認所有受影響的系統和服務都已復原

      • 驗證復原後環境符合組織的安全策略和標準

      • 完成事件報告、復原報告和教訓總結報告

    • 例子

      • 在完成所有復原工作並確認系統和服務正常運作後，事件回應團隊召開了總結會議，檢討事件的處理過程，並記錄了經驗教訓也完成了事件報告和復原報告，並提交給管理層審查

小試身手

• 以下關於 RC.RP-01「一旦從事件回應流程啟動就執行事件回應計畫的復原部分」的敘述，何者為 錯誤 ？

  • A) 事件復原計畫的啟動標準應與事件回應計畫的啟動標準一致

  • B) 事件復原團隊應在事件回應流程啟動後，立即開始評估受影響系統和服務，並規劃復原步驟

  • C) 事件復原是事件回應計畫中不可或缺的一部分， 應與事件回應行動密切配合

  • D) 事件復原計畫的執行必須等到事件完全控制後才能開始， 以免影響事件控制的效率

  • 答案

    • D

      • 選項 D 錯誤，事件復原計畫並不需要等到事件完全控制後才開始執行根據 NIST 文件 RC.RP-01 的說明和實作範例，事件復原計畫應該在事件回應流程啟動後就開始執行， 並且事件復原團隊需要與事件回應團隊緊密合作， 確保復原工作與回應行動互相配合， 達到最佳效果

• 以下哪項措施最符合 RC.RP-02「選擇、界定範圍、排定優先順序和執行復原動作」的核心概念？

  • A) 組織應建立一個標準化的事件復原流程， 適用於所有類型的事件， 以提高事件復原的效率

  • B) 組織應根據事件的具體情況和組織的優先順序， 選擇最有效的復原動作， 並根據業務需求和資源限制調整復原的優先順序

  • C) 組織應優先復原所有受影響的系統和服務， 以確保業務運作的完整性

  • D) 組織應在執行任何復原動作之前， 先取得高層管理者的批准， 以確保決策的正確性

  • 答案

    • B

      • RC.RP-02 的核心概念是，事件復原需要根據事件影響範圍、系統和服務關鍵程度、可用的資源等因素進行調整 選項 B 正確地描述了這個概念， 強調了事件復原的靈活性， 需要根據實際情況進行調整

• 以下哪個情境最能說明 RC.RP-03「在使用備份和其他復原資產進行復原前， 先驗證其完整性」的重要性？

  • A) 公司內部員工不小心刪除了一個重要資料庫， 但資料庫有定期備份

  • B) 公司網站遭受 DDoS 攻擊， 導致服務中斷， 但公司有備援網站可以快速恢復服務

  • C) 公司系統遭到勒索軟體攻擊， 部分資料被加密， 公司使用備份進行資料復原， 但復原後發現備份資料也遭到了感染， 導致復原失敗

  • D) 公司內部員工將機密資料洩漏給競爭對手， 公司採取法律行動追究責任

  • 答案

    • C

      • 選項 C 最能說明 RC.RP-03 的重要性 如果用於復原的備份資料也遭到了感染， 那麼復原工作就會失敗， 甚至可能加劇事件的損害 因此， 在使用備份和其他復原資產進行復原之前， 必須先驗證其完整性， 確保其沒有被損壞或竄改

• RC.RP-04「考慮關鍵任務功能和資安風險管理， 以建立事件後的運作常態」的核心概念為何？

  • A) 事件後的環境可能與事件前不同， 需要調整資安策略和措施， 以確保組織的持續營運能力和安全性

  • B) 事件復原的目標是將所有系統和服務恢復到事件前的狀態， 以確保業務運作的連續性

  • C) 組織應在事件後立即進行全面性的安全評估， 以找出所有潛在的漏洞和威脅

  • D) 組織應將事件復原的責任委託給外部供應商， 以減輕內部團隊的負擔

  • 答案

    • A

      • RC.RP-04 強調在事件後恢復正常運作， 也要確保安全性與持續營運能力 選項 A 正確地解釋了這個概念， 指出事件後的環境可能與事件前不同， 需要重新評估風險並調整資安策略和措施

• 根據 RC.RP-06「應用判斷事件復原結束的標準， 並完成事件相關文件」的敘述， 以下哪一項不屬於判斷事件復原結束的標準？

  • A) 確認所有受影響的系統和服務都已恢復， 並通過測試驗證其功能和性能符合預期

  • B) 確認所有參與事件回應和復原的人員都已獲得適當的休息和獎勵， 以表彰他們的貢獻

  • C) 驗證復原後的環境符合組織的安全策略和標準， 並已採取必要的措施降低事件再次發生的風險

  • D) 完成事件報告、復原報告和教訓總結報告， 並將相關資訊和經驗教訓分享給相關人員

  • 答案

    • B

      • RC.RP-06 強調應明確定義事件復原結束標準， 確保必要復原工作已完成 選項 B 描述的是對事件回應和復原人員的獎勵和照顧， 雖然這很重要， 但不屬於判斷事件復原結束的標準 其他選項 A、C、D 則都與事件復原的完成和安全性的確認有關， 符合 RC.RP-06 的核心概念