Inhaltsverzeichnis - IBM

● Sicherheitsverstöße der Priorität 1
Untersuchungen, die zu einer Klassifizierung hoher Priorität (d. h. Priorität 1) führen, erfordern
umgehende Abwehrmaßnahmen.
● Sicherheitsverstöße der Priorität 2
Untersuchungen, die zu einer Klassifizierung mittlerer Priorität (d. h. Priorität 2) führen, erfordern
Maßnahmen innerhalb von 12 bis 24 Stunden nach Meldung des Sicherheitsverstoßes.
● Sicherheitsverstöße der Priorität 3
Untersuchungen, die zu einer Klassifizierung geringer Priorität (d. h. Priorität 3) führen, erfordern
Maßnahmen innerhalb von einem bis sieben Tagen nach Meldung des Sicherheitsverstoßes.
4.2.1 Leistungsumfang
IBM wird
a. den Kunden auffordern, eine Modifizierung der Konfiguration des Agenten vorzunehmen, falls die
aktuelle Richtlinie das SOC an der zufriedenstellenden Verarbeitung von Protokolldaten hindert und
das Gerät nicht vom IBM MSS SOC betrieben wird;
b. den Kunden am Anfang und am Ende des Zeitfensters für die Ereignisüberwachung und
Benachrichtigung per E-Mail darüber informieren, dass die Überwachung begonnen/beendet wurde;
c. Alarmbenachrichtigungen untersuchen und analysieren;
d. sofern möglich, falsch-positive Alarmmeldungen und unkritische Auslöser ausschließen und als
„kommentierte Sicherheitsverstöße“ klassifizieren;
e. Alarmbenachrichtigungen, die nicht als unkritische Auslöser ausgeschlossen werden können,
identifizieren und als Sicherheitsverstoß klassifizieren. In diesem Fall wird IBM
(1) die SLA-Timer starten; und
(2) dem Sicherheitsverstoß hohe, mittlere oder geringe Priorität zuteilen;
f. Sicherheitsverstöße innerhalb der Frist und mittels der Kommunikationsmethode (z. B. E-Mail oder
Telefon), die im Abschnitt „Service-Level-Agreements“, „Benachrichtigung bei Sicherheitsverstößen“
dieser Leistungsbeschreibung angegeben sind, über die vom Kunden angegebene
Standardbenachrichtigungsreihenfolge an einen autorisierten Ansprechpartner für die Sicherheit
oder einen benannten Ansprechpartner für die Services eskalieren, basierend auf bewährten
Verfahren (Best Practices) von IBM für Benachrichtigungen bei Sicherheitsvorfällen;
g. Abhilfe-/Gegenmaßnahmen empfehlen, sofern zutreffend;
h. Details zu Sicherheitsverstößen und kommentierten Sicherheitsverstößen im IBM Ticketsystem
dokumentieren; und
i. Sicherheitsverstöße und kommentierte Sicherheitsverstöße im Portal auflisten.
4.2.2 Verantwortlichkeiten des Kunden
Der Kunde wird
a. das MSS-Portal nutzen, um die Ereignisüberwachung und Benachrichtigung zu planen;
b. die von IBM MSS angeforderten Richtlinienänderungen an dem Agenten vor dem nächsten
Überwachungszeitraum durchführen, sofern das Gerät nicht von IBM betrieben wird;
c. das MSS-Portal nutzen, um Protokolle und Ereignisse zu untersuchen, die nicht als unmittelbare
Sicherheitsbedrohungen eingestuft wurden;
d. IBM eine aktuelle, detaillierte Dokumentation zur Umgebung des Kunden bereitstellen;
e. IBM innerhalb von drei Kalendertagen über Änderungen an der Umgebung des Kunden informieren;
f. IBM die folgenden Informationen bereitstellen und auf dem aktuellen Stand halten (über das MSS-
Portal):
(1) Informationen zu kritischen Servern (z. B. Name, Plattform, Betriebssystem, IP-Adresse und
Netzwerksegmenttyp);
(2) Informationen zu überwachten Netzwerken;
(3) Informationen zu Geräten, die die Netzadressumsetzung (NAT) verwenden (z. B. Name,
Plattform, Betriebssystem und Netzwerksegmenttyp);
Z126-5942-AT-2 04-2013 Seite 22 von 41 Z126-5942-WW-2 04-2013