Dropbox har politikker og procedurer for hændelsesrespons for at håndtere problemer med tjenestens tilgængelighed, integritet, sikkerhed, persondata og fortrolighed. Som en del af vores procedurer for hændelsesrespons har vi dedikerede teams, der er uddannet til at:
- Reagere hurtigt på advarsler om potentielle hændelser.
- Bestemme, hvor alvorlig hændelsen er.
- Om nødvendigt udføre handlinger for at afhjælpe og begrænse problemer.
- Kommunikere med relevante interne og eksterne interessenter. Det kan være i form af meddelelser til berørte kunder, for at overholde kontraktmæssige forpligtelser samt relevante love og bestemmelser vedrørende underretning om misligholdelse eller andre hændelser.
- Indsamle og opbevare beviser som led i en efterforskning.
- Dokumentér en postmortem, og udvikl en afbødningsplan
Politikker og processer for hændelsessvar revideres som en del af vores SOC 2+, ISO/IEC 27001 og andre sikkerhedsvurderinger.
Dropbox følger en standardlivscyklus for reaktion på hændelser:
- Opdagelse
- Meddelelse
- SVAR
- Evaluering
- Afhjælpning
Efter rapportering af en hændelse, der berører kunder, uanset om den er forårsaget af eksterne aktører eller personer med autoriseret adgang, udføres der en vurdering af påvirkningen for at oprette en plan til afhjælpning af de identificerede problemer. Hvor det er lovpligtigt, kontraktbestemt eller på anden måde relevant, giver Dropbox kunderne besked om en hændelse som beskrevet i Dropbox' aftale om databehandling.
Problemer, der identificeres som en del af en hændelse, inddeles i to hovedkategorier:
- Handlingspunkter: Kortsigtede handlinger for at afbøde en risiko og stoppe en hændelse; og
- Sikkerhedsproblemer: Længerevarende projekter, der er knyttet til specifikke teknologier eller systemer for at afbøde en negativ indvirkning på sikkerhedsrisikoen.
Handlingspunkter er knyttet til de relevante roller i virksomheden, som koordinerer afhjælpningen af problemet, kommunikerer med interne interessenter og sikrer, at der er ressourcer til afhjælpningen
Løsningen arkiveres, når alle aktiviteter i planen over handlinger er fuldført.
Efter afbødning af en hændelse udføres en postmortem for fuldt ud at forstå årsagen/årsagerne til et problem, identificere handlingspunkter og sikkerhedsproblemer og fuldføre eventuelt resterende arbejde for at forhindre problemerne i at gentage sig. Hændelser gennemgår en række vurderinger for at indsamle input og indsigt på de forskellige niveauer i organisationen. Jo mere alvorligt problemet er, jo højere niveau af vurdering vil hændelsen gennemgå. Langsigtede arbejdsprocesser føjes til sprints og køreplaner, og erfaringer kommunikeres til relevante teams.
Denne faseinddelte tilgang sikrer, at Dropbox fokuserer på det mest nyttige arbejde på de rette tidspunkter, som vil hjælpe med at forhindre fremtidige problemer.
