Забраната за плащане на киберпрестъпници се приближава до закон

В продължение на години преговорите за откуп в Обединеното кралство се провеждаха тихо, зад затворени врати, като организациите претегляха цената на плащането спрямо цената на престоя, загубата на данни или публичното разкриване. Тази сметка предстои да се промени. Британското правителство напредва с предложения за целенасочена забрана за плащане на откуп, която ще забрани на публичния сектор, включително местните власти, и на собствениците и операторите на критична национална инфраструктура (КНИ) да плащат откупи на киберпрестъпници изобщо.

Забраната ще се прилага широко в публичния сектор и в 13-те сектора, класифицирани като КНИ, които включват здравеопазване, енергетика, финанси, транспорт, комуникации и отбрана. За организациите извън този обхват картината е различна, но все пак заслужава внимание: частните предприятия, които обмислят да платят откуп, ще бъдат задължени да уведомят правителството преди това, давайки на властите видимост върху проблем, който исторически е оставал недостатъчно докладван.

Това не е хипотетично упражнение. То представлява една от най-значимите промени в киберполитиката на Обединеното кралство от години и оказва реален натиск върху публичните органи и операторите на инфраструктура да преосмислят как се подготвят за и се възстановяват от инциденти с откуп, а не само как реагират на искания, след като атаката вече е извършена.

Защо това е фундаментално въпрос на поверителност и защита на данните

Забраните за откуп често се представят чисто като политика срещу престъпността, като логиката е, че прекъсването на плащанията премахва финансовия стимул за атакуващите да атакуват британски институции. Но под тази рамка стои по-труден въпрос за поверителността: какво се случва с данните на гражданите и пациентите, когато опцията за плащане бъде премахната?

Когато болничен тръст, общински съвет или оператор на инфраструктура бъде ударен от откуп и откаже (или вече е законово възпрепятстван) да плати, атакуващите често заплашват да изтекат откраднатите данни вместо това. Тези данни могат да включват здравни записи, информация за обезщетения, училищни записи или лични данни, свързани с основни услуги. След като тези данни бъдат изнесени, никаква промяна в политиката не може да отмени разкриването. Забраната за плащане не намалява количеството лични данни, които престъпниците крадат преди криптирането; тя само премахва един възможен път за предотвратяване на тяхното публикуване.

Тук забраната се пресича директно със задълженията за защита на данните. Публичните органи и операторите на КНИ вече имат задължения относно уведомяването за нарушения и опазването на личните данни. Забраната за плащане повишава залозите в началото: тъй като плащането вече не е опция за премахване на заплахата от изтичане, организациите се нуждаят от желязна превенция, откриване и способности за възстановяване, за да избегнат изобщо достигането до този момент. На практика политиката измества тежестта от кризисни преговори към проактивна устойчивост, което е точно там, където защитата на поверителността трябваше да бъде фокусирана през цялото време.

Какво трябва да направят организациите от публичния сектор и КНИ преди законът да влезе в сила

Организациите в обхвата не трябва да чакат законодателството да бъде финализирано, преди да действат. Няколко практични стъпки заслужават приоритет сега:

  • Тествайте процесите за архивиране и възстановяване при реалистични условия. Забраната за плащане работи само ако възстановяването без плащане е действително осъществимо. Архивните копия трябва да бъдат изолирани от основните мрежи, редовно тествани и достатъчно бързи, за да възстановят критични услуги в приемливи срокове.
  • Картографирайте потоците от данни и класифицирайте чувствителните записи. Знанието точно какви лични или чувствителни данни се намират къде и как са защитени е от съществено значение както за реакцията при нарушение, така и за регулаторното съответствие, след като забраната влезе в сила.
  • Актуализирайте плановете за реакция при инциденти, за да отразяват реалността без плащане. Наръчниците, написани около предположението, че плащането остава опция, трябва да бъдат пренаписани около ограничаване, комуникация и възстановяване без възможност за откуп.
  • Прегледайте достъпа на доставчици и трети страни. Много инциденти с откуп произхождат чрез доставчици или платформи от веригата за доставки, а не чрез директни атаки. Отказът на швейцарския производител Stadler да плати откуп, след като атакуващите компрометираха технически данни чрез платформа на доставчик, е полезен реален пример за това как излагането на трети страни може да предизвика голям инцидент, дори когато собствените системи на организацията са сигурни.
  • Ангажирайте се с доставчиците на киберзастраховки рано. Полиците, които предполагаха, че плащанията за откуп са покрита опция за възстановяване, ще трябва да бъдат преразгледани.

Какво означава това за вас

Ако разчитате на публични услуги, била то NHS, услуги на местния съвет или комунални услуги, класифицирани като КНИ, тази промяна в политиката засяга начина, по който вашите данни са защитени по време на атака, а не само дали дадена организация плаща на престъпници. Забраната за плащане не гарантира, че данните ви няма да бъдат откраднати, но тласка публичните органи към по-силна превенция и по-бързо, по-прозрачно възстановяване, тъй като тихото плащане, за да изчезне проблемът, вече не е на масата. Очаквайте повече публично разкриване около инциденти, засягащи тези сектори, тъй като изискванията за докладване се затягат заедно със забраната.

Основни изводи

Забраната за плащане на откуп в Обединеното кралство бележи умишлена промяна от третирането на плащанията за откуп като приемлива последна мярка за публични институции и критична инфраструктура. За организациите в обхвата приоритетът сега е устойчивост: тествани архивни копия, картографирани информационни активи, актуализирани планове за реакция при инциденти и проверени взаимоотношения с доставчици. За всички останали забраната е сигнал, че прозрачността и отчетността около инциденти с откуп, засягащи основни услуги, предстои да се увеличат. Оставането информирани за това как вашият местен орган, доставчик на здравни услуги или комунална услуга се справя с тези изисквания, е разумна и полезна стъпка, докато законодателството напредва към превръщането си в закон.