Dropbox policyer och rutiner för incidenthantering

Dropbox har policyer och rutiner för incidenthantering som fastställer hur vi ska hantera problem med tillgänglighet, integritet, säkerhet, sekretess och konfidentialitet för tjänsten. Som en del av våra incidenthanteringsprocedurer har vi särskilda team som är utbildade för att kunna:

• Reagera snabbt på varningar om potentiella incidenter
• Fastställ incidentens allvarlighetsgrad
• Vidta åtgärder för minimering och begränsning vid behov
• Kommunicera med relevanta interna och externa intressenter, inklusive att meddela drabbade kunder för att tillmötesgå kontraktsmässiga förpliktelser om brott eller incidenter och följa relevana lagar och förordningar
• Samla in och lagra bevis för utredningsarbete
• Dokumentera en efterhandsutredning och ta fram en permanent prioriteringsplan

Regler och processer för incidentrespons revideras inom ramarna för SOC 2+, ISO/IEC 27001 och andra säkerhetsutvärderingar.

Dropbox följer en standard livscykel för incidenthantering som omfattar:

1. Upptäckt
2. Meddelande
3. Svar
4. Utvärdering och
5. Korrigerande åtgärder

Efter att en incident som påverkar kunder rapporteras, oavsett om det orsakas av externa aktörer eller personer med auktoriserad åtkomst, kommer en bedömning av påverkan utföras för att skapa en handlingsplan för att åtgärda identifierade problem. När så krävs enligt tillämplig lag, avtalsförpliktelser eller på annat sätt är lämpligt meddelar Dropbox kunderna om en incident enligt beskrivningen i Dropbox databehandlingsavtal.

Problem som identifierats som en del av en incident delas upp i två huvudkategorier:

1. Åtgärdsposter, som är kortsiktiga åtgärder för att mildra en risk och stoppa en incident, och
2. Säkerhetsproblem, som är långsiktiga projekt knutna till specifik teknik eller system för att mildra en negativ inverkan på säkerhetsrisken.

Åtgärdsposter tilldelas lämpliga roller inom företaget, och dessa samordnar för att mildra problemet, kommunicera till interna intressenter och se till att resurser är säkrade.

Lösningen uppnås när alla aktiviteter i åtgärdsplanen är slutförda. 

Efter begränsning av en incident genomförs en slutanalys för att fullt förstå grundorsakerna till ett problem, identifiera åtgärdsposter och säkerhetsproblem och slutföra eventuellt kvarvarande arbete för att förhindra att problemen upprepas. Incidenter går igenom en serie granskningar för att få feedback och insikter för organisationens olika nivåer.  Ju allvarligare problemet är, desto högre granskningsnivå kommer incidenten att gå igenom. Långsiktiga arbetsflöden läggs till i sprintar och produktplaner, och lärdomar kommuniceras till tillämpliga team.  

Detta stegvisa tillvägagångssätt säkerställer att Dropbox fokuserar på det mest värdefulla arbetet vid rätt tidpunkt, vilket hjälper till att förhindra framtida problem.