Ključne aktivnosti procesa upravljanja incidentima jesu:

• uočavanje i prijavljivanje događaja

Kako bi se otkrili sigurnosni događaji ili slabosti potrebno je pratiti zapise o radu sustava – logove kao i upozorenja koja dolaze od nadzornih alata, npr. detektori, alarmi, antivirusni program i dr. Bitno je podići svijest unutar organizacije da je dužnost svakog zaposlenika prijaviti uočeni sigurnosni događaj ili slabost.

• Analiza prijavljenog događaja

Po prijavi događaja Tim za upravljanje incidentima provodi analizu istih s ciljem utvrđivanja da li su uopće relevantni. Ukoliko nisu, o istome obavještava prijavitelja.

• Detaljno vrednovanje prijavljenog događaja

Ukoliko se analizom utvrdi da je prijavljeni događaj relevantan, provodi se detaljno vrednovanje i donosi odluka o kategorizaciji istog za što je također zadužen Tim. Prilikom vrednovanja Tim može donijeti odluku da se prijavljeni događaj prijavi CERT-u (Computer Emergency Response Team) kako bi se kvalitetno provelo vrednovanje prijavljenog događaja. CERT je nacionalno tijelo koje reagira na računalno-sigurnosne incidente te preventivno djeluje na poboljšanju računalne sigurnosti informacijskih sustava.

Rezultat vrednovanja prijavljenog događaja ili incidenta je definiranje vrste incidenta, uzroka koji je doveo do istog te definiranje direktnih i indirektnih posljedica incidenta na organizaciju (financijski gubitak, prekid poslovnih aktivnosti, nezadovoljenje zakonske regulative, gubitak ugleda i sl.). Temeljem provedenog vrednovanja ispunjava se Izvješće o incidentu.

• Rješavanje sigurnosnog incidenta

Rješavanje incidenta sastoji se od neposrednog rješavanja, izvješćivanja uključenih strana i prikupljanja dokaza i forenzike. Vrlo je bitno, nakon što se utvrdi da se radi o incidentu, obavijestiti sve one koji su ugroženi i uključeni u postupak oporavka, bez obzira radi li se o zaposlenicima, vanjskim suradnicima ili trećoj strani. S obzirom da je za organizaciju jako bitno da se u što kraćem vremenskom periodu ograniči širenje nastalog incidenta, Tim za upravljanje incidentima definira aktivnosti rješavanja istog i angažira odgovorne osobe za rješavanje.

U slučaju da Tim odluči da organizacija nema resurse potrebne za rješavanje, isti se prosljeđuje vanjskim ugovornim stranama, odnosno provodi se eskalacija. Nakon što se incident riješi o istome je potrebno izvijestiti sve one koji su bili uključeni u rješavanje istog.

• Realizacija kriznih aktivnosti (BCP)

Ukoliko Tim za upravljanje incidentima utvrdi da se incident ne može staviti pod kontrolu uz sve poduzete aktivnosti te isti ugrožava funkcioniranje sustava, potrebno je proglasiti krizno stanje i pokrenuti Plan kontinuiteta poslovanja.

Nakon što je incident riješen provodi se daljnja analiza uočenih događaja, slabosti i incidenata, kao i nerelevantnih prijava te se traže mogući načini poboljšanja cjelokupne sigurnosti i načina upravljanja incidentima. Navedena analiza provodi se s ciljem sprečavanja pojave novih incidenata.

• Prikupljanje dokaza i forenzika

Prilikom rješavanja incidenta potrebno je voditi zapise, odnosno evidentirati dokaze o provedenim aktivnostima. Dokaze je potrebno prikupljati za potrebe interne analize problema te kao forenzičke dokaze u slučaju istrage ili pravnog postupka. Način pohrane, vrijeme čuvanja i pristup dokazima definira Tim za upravljanje incidentima.

Svaki identificirani incident potrebno je evidentirati, analizirati i utvrditi uzrok koji je doveo do istog kao i procijeniti posljedice koje ima na organizaciju. Ne postoji mjera koja će nam pružiti potpunu zaštitu te će i nakon primjene istih ostati rizik da se incident ponovi, ali će isti biti pod kontrolom.