Dropbox sine retningslinjer for hendelsesrespons og prosedyrer

Dropbox har retningslinjer for hendelsesrespons og prosedyrer for å håndtere problemer med tilgjengelighet, integritet, sikkerhet, personvern og konfidensialitet i tjenesten. Som en del av prosedyren vår for hendelsesrespons har vi dedikerte team som er opplært til å:

• Raske svar på varsler om potensielle hendelser
• Vurdering av alvorlighetsgraden til en hendelse
• Om nødvendig, utføre tiltak for å begrense og forhindre ytterligere skade
• Kommunisere med relevante interne og eksterne interessenter, inkludert varsling til berørte kunder for å møte kontraktmessige forpliktelser til brudd- eller hendelsesvarsling, samt overholdelse av relevante lover og forskrifter
• Innsamling og sikring av bevis for granskning
• Dokumentering av post mortem og utvikling av en permanent håndteringsplan

Retningslinjene og prosessene for hendelsesresponser revideres som en del av SOC 2+, ISO/IEC 27001 og andre sikkerhetsvurderinger.

Dropbox følger en standard livssyklus for hendelsesrespons:

1. Oppdagelse,
2. varsler,
3. respons,
4. evaluering og
5. korrigerende handling

Etter at en hendelse som påvirker kunder, er rapportert, enten den er forårsaket av eksterne aktører eller personer med autorisert tilgang, gjennomføres en vurdering av virkningen for å generere en handlingsplan for å rette opp identifiserte problemer. Der det kreves av gjeldende lov, kontraktsmessige forpliktelser eller på annen måte er hensiktsmessig, varsler Dropbox kundene om en hendelse som beskrevet i Dropbox sin databehandlingsavtale.

Problemer identifisert som en del av en hendelse, deles inn i to hovedkategorier:

1. Handlingspunkter, som er kortsiktige handlinger for å redusere en risiko og stoppe en hendelse, og
2. sikkerhetsproblemer, som er langsiktige prosjekter knyttet til spesifikke teknologier eller systemer for å redusere en negativ innvirkning på sikkerhetsrisiko.

Handlingspunkter tildeles de riktige rollene på tvers av selskapet som koordinerer for å redusere problemet, kommunisere til interne interessenter og sikre at ressurser er sikret for å hjelpe.

Løsning oppnås når alle aktiviteter i handlingsplanen er fullført. 

Etter å ha begrenset en hendelse, gjennomføres en evaluering for å forstå årsaken(e) til et problem fullt ut, identifisere handlingspunkter og sikkerhetsproblemer og fullføre gjenstående arbeid for å forhindre at problemene oppstår igjen. Hendelser går gjennom en rekke vurdedringer for å samle innspill og innsikt på de ulike nivåene i organisasjonen.  Jo mer alvorlig problemet er, desto høyere grad av vurdering vil hendelsen få. Langsiktige arbeidsstrømmer legges til sprints og veikart, og erfaringene blir formidlet til aktuelle team.  

Denne trinnvise tilnærmingen sikrer at Dropbox fokuserer på arbeidet med høyest verdi på de riktige tidspunktene, noe som vil bidra til å forhindre fremtidige problemer.