MiraВопрос на собеседовании · Инженер по информационной безопасности
Как выглядит план реагирования на инцидент безопасности?
Короткий ответ, ключевые тезисы и ошибки, которых стоит избежать на интервью.
План начинается до инцидента: роли, контакты, доступы, источники логов, классификация и безопасный канал коммуникации должны быть известны. При сигнале команда подтверждает факт, оценивает активы и масштаб, фиксирует время и доказательства, а затем ограничивает воздействие способом, который не разрушит возможность расследования.
После containment устраняют первопричину, ротируют затронутые секреты, восстанавливают сервис и проверяют отсутствие повторного доступа. Postmortem отделяет факты от предположений, даёт владельцев и сроки улучшений: detection, hardening, документации и тренировок; юридические и пользовательские уведомления идут по заранее согласованной процедуре.
01 · Структура ответа
Что важно сказать интервьюеру
Начните с определения, затем объясните механизм и закончите примером из практики. Для полного ответа раскройте эти тезисы:
02 · Пример
Как объяснить на практике
Обнаружен ключ доступа в публичном репозитории. Команда фиксирует commit и обращения, немедленно отзывает и заменяет ключ, проверяет логи использования, ограничивает затронутые права и добавляет secret scanning с блокировкой новых утечек.
Не заучивайте формулировку дословно. Свяжите принцип с задачей из собственного проекта — интервьюер почти наверняка попросит уточнить детали реализации и компромиссы.
03 · Ошибки
Чего избегать в ответе
04 · Углубление
Что могут спросить следом
- Как классифицировать severity?
- Когда уведомлять пользователей?
- Как проводить tabletop exercise?
Практика ответа
Ответьте вслух, а не про себя
Откроем тренировку сразу на этом вопросе. Выберите грейд, сформулируйте ответ и сравните его с подсказкой.