Eskaleringsprocedure

Eskalering har to dimensioner, som ITIL og de fleste rammer for hændelseshåndtering holder adskilt. Funktionel (horisontal) eskalering flytter en alarm eller hændelse til personer med mere specialiseret viden, fx fra en analytiker på niveau 1 i SOC'en til niveau 2 eller 3, til netværksteamet eller til en ekstern incident response-leverandør på retainer. Hierarkisk (vertikal) eskalering flytter den til personer med mere beslutningskompetence, fx den sikkerhedsansvarlige, IT-direktøren, krisestaben eller bestyrelsen, fordi der skal træffes en beslutning, som den nuværende behandler ikke har mandat til. De fleste procedurer kombinerer begge og udløser dem uafhængigt af hinanden.

Udløserne defineres i en alvorlighedsmatrix, typisk med fire eller fem niveauer (SEV1 til SEV4 eller P1 til P4), med objektive kriterier som berørte systemer og deres kritikalitet, antal berørte brugere eller kunder, bekræftet eller mistænkt involvering af personoplysninger, tegn på en aktiv angriber, lateral bevægelse eller kompromitterede privilegerede konti og opmærksomhed fra medier eller tilsynsmyndigheder. Hvert niveau angiver, hvem der skal informeres, inden for hvilken tid, via hvilken kanal, og hvem der har beslutningskompetencen. Tidsbaseret eskalering er lige så vigtig: bliver en hændelse på et givet niveau ikke kvitteret inden for fx 15 minutter eller inddæmmet inden for en fastsat periode, eskalerer den automatisk. Vagtværktøjer implementerer det som eskaleringspolitikker, der kalder den næste i kæden.

Lovbestemte tærskler hører hjemme i matricen. Efter NIS2 artikel 23, stk. 3, er en hændelse væsentlig, hvis den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser eller økonomiske tab, eller hvis den har påvirket eller kan påvirke andre ved at forvolde betydelig materiel eller immateriel skade, og Kommissionens gennemførelsesforordning (EU) 2024/2690 fastsætter kvantitative tærskler for udbydere af digital infrastruktur og digitale tjenester. Fordi fristen på 24 timer for den tidlige varsling løber fra kendskabet til en væsentlig hændelse, skal proceduren hurtigt sende mulige hændelser videre til den, der vurderer væsentligheden. På samme måde skal enhver hændelse, der kan involvere personoplysninger, straks eskaleres til databeskyttelsesfunktionen, fordi fristen på 72 timer efter databeskyttelsesforordningens artikel 33 løber sideløbende.

Typiske fejl er procedurer, der nævner roller, men ikke personer eller stedfortrædere, kontaktoplysninger, der kun ligger i systemer, som hændelsen har ramt, eskalering, der afhænger af, om den første på vagt tør vække en direktør om natten, og alvorlighedsniveauer, der er så vagt defineret, at alt enten er kritisk eller ignoreres. Kriterier for nedskalering og en registrering af hver eskaleringsbeslutning med tidsstempel hører også til proceduren, fordi de fødes ind i hændelsesrapporten og erfaringsopsamlingen.