Pierwsze 24 godziny po incydencie

Od kiedy właściwie liczy się te 24 godziny?

Od wykrycia incydentu, a nie od chwili, gdy firma zrozumie, co się stało. Na tym polega cały problem z tym terminem. W chwili, gdy ktoś mówi Państwu „nie działa logowanie do magazynu, a pliki na dysku współdzielonym mają zmienione nazwy”, zaczyna biec czas, choć nikt jeszcze nie wie, czy to atak, błąd kopii zapasowej, czy pomyłka administratora.

Wstępne zgłoszenie nie wymaga przy tym dochodzenia. Zawiera dane identyfikacyjne organizacji i podstawowe informacje o incydencie, czyli to, co w danej chwili Państwo wiedzą. Jakie kolejne terminy biegną potem i które incydenty w ogóle się zgłasza, omawia artykuł o czeskiej ustawie o cyberbezpieczeństwie, ponieważ zakres obowiązku różni się w zależności od reżimu.

Co musi być rozstrzygnięte z góry?

Pięć spraw i żadnej z nich nie da się wymyślić w dniu, w którym jest potrzebna. Decyduje się o nich wtedy, gdy panuje spokój, bo inaczej w pierwszej godzinie improwizuje się w kwestii tego, kto ma prawo co zrobić:

• Kto wyśle zgłoszenie i kto je wyśle, gdy ta osoba jest na urlopie.
• Skąd weźmie dane o zaatakowanym systemie, czyli czy istnieje mapa zasobów.
• Kto może zdecydować o odłączeniu systemu od sieci, nawet jeśli zatrzyma to działalność.
• Kto rozmawia z klientami i z mediami oraz co się mówi, dopóki nic nie wiadomo.
• Gdzie zapisuje się oś czasu, bo będzie chciał ją zobaczyć zarówno urząd, jak i ubezpieczyciel.

To zarazem odpowiedź na pytanie, dlaczego bezpieczeństwa nie da się kupić jak produktu. Większość tych decyzji ma charakter organizacyjny, a nie techniczny, i musi je podjąć kierownictwo, a nie dostawca.

Dlaczego wykrycie jest trudniejsze niż zgłoszenie?

Bo termin biegnie od wykrycia, ale nigdzie nie jest napisane, że wykrycie nastąpi szybko. Firma bez monitoringu dowiaduje się o incydencie zwykle wtedy, gdy coś przestaje działać, ewentualnie gdy odezwie się ktoś z zewnątrz. Do tego czasu atakujący jest w środowisku, tylko nikt o tym nie wie, a formalnie termin jeszcze nie biegnie.

Praktyczna konsekwencja jest niewygodna: firma, która niczego nie monitoruje, może formalnie dotrzymywać terminów, a mimo to być w gorszej sytuacji niż ta, która wykryła incydent następnego dnia i zgłosiła go z opóźnieniem. Dlatego warto zająć się monitoringiem wcześniej niż szablonem zgłoszenia.

Co robić w pierwszych godzinach, a czego nie?

Zatrzymać rozprzestrzenianie się, zachować ślady i zapisywać, co i kiedy się stało. Izolacja zaatakowanego komputera jest zwykle właściwym pierwszym krokiem, ale wyłączenie go i ponowna instalacja to najczęstszy kosztowny błąd: znika wtedy również to, na podstawie czego dałoby się ustalić, jak atakujący dostał się do środka i dokąd jeszcze dotarł.

Drugi błąd to milczenie wewnątrz firmy. Ludzie, którzy nie wiedzą o incydencie, robią normalne rzeczy: przesyłają dalej pliki, przywracają dane z kopii zapasowej i zmieniają hasła w miejscach, które obserwuje atakujący. Dlatego poinformowanie ich jest ważniejsze niż napisanie komunikatu prasowego.

Co o kopiach zapasowych okazuje się dopiero w zły dzień?

Że samo ich istnienie nie wystarcza. Przy ransomware decyduje to, czy kopia pochodzi sprzed ataku, czy atakujący nie dotarł do niej tymi samymi dostępami co do reszty sieci i jak długo trwa przywrócenie całej działalności, a nie jednego pliku. Odpowiedź na ostatnie pytanie jest zwykle tą nieprzyjemną: przywracanie testuje się na jednym dokumencie, a w kryzysie chodzi o dziesiątki systemów naraz.

Dlatego plany ciągłości działania i odtwarzania to dokumenty, które pisze się z wyprzedzeniem i co jakiś czas testuje. Bez testu są listą życzeń: stoi w nich, że działalność zostanie przywrócona, ale nikt nie wie, w jakim czasie i w jakiej kolejności, a to właśnie kolejność decyduje, czy firma po dwóch dniach wydaje towar, czy tylko czyta e-maile.

Kto to wszystko robi, jeśli nie mają Państwo osoby odpowiedzialnej za bezpieczeństwo?

Albo ktoś z Państwa pracowników, albo zewnętrzna osoba w tej roli, z którą jest to uzgodnione z góry. Częścią usług ICT jest ustalenie procedury na wypadek ataku, dzięki czemu w tej chwili nikt nie improwizuje, a audyt IT jeszcze wcześniej sprawdzi, czy firma jest na atak przygotowana. Securent dodaje do tego dochodzenie w sprawie incydentów, komunikację z czeskim urzędem NÚKIB oraz plany ciągłości działania i odtwarzania.

Niezależnie od tego, kto to robi, obowiązuje jedno: obowiązek zgłoszenia ma organizacja. Dostawca może przygotować materiały oraz prowadzić lub wspierać rozmowy, ale adresatem tego obowiązku pozostają Państwo. Z tego wynika też jedyny test, czy Państwa procedura jest naprawdę gotowa: warto przejść ją na próbę w dniu, w którym nic się nie dzieje.