เมื่อพบปัญหาเรื่องบันทึกเหตุการณ์จากข้อเท็จจริงว่าเมื่อระบบผิดปกติ ทีมสอบสวนไม่ได้เพราะไม่มีบันทึกกิจกรรมย้อนหลัง ควรทำอะไรเป็นลำดับแรก
กมาตรการที่อาจเลือกคือ คัดกรองและยืนยันรายงานเหตุก่อนดำเนินการตอบสนอง
ขสร้างและเก็บบันทึกเหตุการณ์ให้พร้อมใช้สำหรับการติดตามต่อเนื่อง
คหลักปฏิบัติอีกด้านคือ ทบทวนและปรับนโยบายให้ทันภัยคุกคาม เทคโนโลยี และภารกิจ
งแนวทางสำหรับพิจารณาคือ ทบทวนสิทธิ์และจำกัดตามหลักสิทธิ์น้อยที่สุดกับการแบ่งแยกหน้าที่
เฉลยอธิบาย
PR.PS-04 กำหนดให้สร้าง log records และทำให้พร้อมใช้ในการติดตามอย่างต่อเนื่อง ดังนั้นกรณีนี้ต้อง “สร้างและเก็บบันทึกเหตุการณ์ให้พร้อมใช้สำหรับการติดตามต่อเนื่อง” ตัวเลือกอื่นเป็นผลลัพธ์ในคนละหมวดหรือคนละช่วงของวงจร และไม่แก้ข้อบกพร่องตามโจทย์โดยตรง