Shafer-Pageův rozhodovací strom pro ransomware: Stanovení limitů v předstihu

Proč je rozhodovací strom pro ransomware důležitý dříve, než zazní alarm

Když udeří ransomware, první hodiny jsou chaotické. Systémy se zablokují, zaměstnanci nemají přístup k souborům a vedení se snaží pochopit, co vlastně nefunguje. Podle bezpečnostního experta Shafer-Page nejsou organizace, které reagují nejefektivněji, ty s největšími bezpečnostními rozpočty. Jsou to ty, které se již předem rozhodly, jak přesně budou reagovat.

To je základní myšlenka budování rozhodovacího stromu pro ransomware: strukturovaný, předem dohodnutý rámec, který říká respondentům, jaké kroky mají podniknout, jakmile jsou splněny konkrétní podmínky. Místo debat o strategii uprostřed krize týmy jednoduše následují větve, které si předem zmapovaly. Zní to jednoduše, ale většina organizací stále žádný nemá, a proto se reakce tak často zvrhávají ve zhoršení škod namísto jejich omezení.

Stanovení jasných prahových hodnot pro data a provoz

Prvním pilířem efektivního rozhodovacího stromu je definování prahových hodnot před vznikem incidentu. To znamená konkrétně vyhodnotit, co se počítá za vážný zásah do integrity dat, co se počítá za narušení provozní kontinuity, jako jsou výrobní procesy, a co se počítá za poškození kritických digitálních služeb, jako jsou veřejně přístupné webové stránky.

Bez této jasnosti stanovené předem jsou respondenti incidentu nuceni v reálném čase hádat, jak vážná situace vlastně je. Výpadku výrobní linky může odpovídat okamžité briefování vedení a přechod na záložní systémy. Zhoršený web možná ne. Ale pokud se nikdo nedohodl, kde tyto hranice leží, týmy buď přehnaně reagují a zbytečně odstavují systémy, nebo reagují nedostatečně a nechávají útočníkovi oporu dále se šířit, zatímco organizace debatuje o závažnosti. Pointa Shafer-Page je přímočará: nejednoznačnost v této fázi nejen zpomaluje reakci, ale aktivně zhoršuje výsledky.

Zde by také organizace měly zvážit digitální služby, na kterých denně závisí. Výpadek webu může na papíře vypadat nevýznamně, ale v závislosti na podnikání může mít nepřiměřené důsledky pro reputaci a příjmy. Zmapování těchto závislostí předem, nikoli během samotného incidentu, je to, co odděluje kontrolovanou reakci od improvizované.

Vyjednávací pravomoc a finanční limity

Druhou oblastí zájmu v rozhodovacím stromu jsou parametry vyjednávání, a je to pravděpodobně citlivější z těch dvou. Požadavky na vydírání potřebují jasný řetězec pravomocí. Kdo smí komunikovat s útočníky? Kdo může autorizovat platbu a do jaké částky? To nejsou otázky, na které chce organizace odpovídat poprvé, když před sebou má výkupné.

Stanovení předem definovaných finančních limitů plní dvě věci. Zabrání rozhodnutím řízeným panikou, kdy společnost souhlasí s platbou mnohem vyšší, než by měla, jen proto, že se vedení cítí v koutě. A dává vyjednavačům, ať už interním zaměstnancům nebo externím konzultantům, pevný mandát, v rámci kterého mohou pracovat, místo aby museli během vyjednávání neustále žádat o schválení, což mohou útočníci využít jako známku dezorganizace.

Stojí za zmínku, že ne každá organizace se vůbec rozhodne vyjednávat. Některé subjekty se veřejně a předem rozhodly, že nezaplatí bez ohledu na to, co je požadováno nebo vyhrožováno. Berlínská státní vláda odmítla vyjednávat se skupinou Rhysida ransomware ještě předtím, než útočníci otevřeli svou aukci dat, což je postoj, který funguje jen proto, že rozhodnutí bylo učiněno předem, nikoli pod tlakem. Na opačném konci spektra nedávný výzkum ukazuje, že k platbám stále dochází častěji, než mnozí předpokládají: studie zjistila, že 34 % firem v Austrálii a na Novém Zélandu stále platí požadavky ransomwaru, navzdory rostoucím důkazům, že platba spolehlivě nezaručuje obnovu dat ani nebrání budoucímu cílení.

Co to znamená pro vás

Připravenost na ransomware není jen záležitostí velkých podniků s vyhrazenými bezpečnostními týmy. Malé firmy, neziskové organizace, školy a místní samosprávy jsou všechny častými cíli právě proto, že obvykle postrádají plán. Pokud vaše organizace zpracovává citlivá data, i základní verze rozhodovacího stromu pro ransomware, krátký dokument určující, kdo rozhoduje o čem a při jaké prahové hodnotě, může dramaticky zkrátit dobu reakce a snížit pravděpodobnost nákladného chybného kroku.

Pro jednotlivce je ponaučení nepřímější, ale stále relevantní. Organizace, které dobře reagují na ransomware, mají tendenci omezovat, kolik vašich osobních údajů se dostane na veřejnost nebo unikne. Pochopení, že tento druh plánování existuje, a ptát se, zda ho společnosti a instituce, na které se spoléháte, mají, je rozumná otázka, kterou lze jako spotřebitel nebo klient vznést.

Praktické závěry

• Předem definujte, co se počítá za kritický dopad na integritu dat, provoz a veřejně přístupné služby, nečekejte na aktivní incident, abyste se rozhodli.
• Stanovte jasnou pravomoc pro to, kdo může vyjednávat s útočníky, a stanovte pevné finanční limity dříve, než dorazí jakýkoli požadavek na výkupné.
• Prostudujte příklady z praxe, jak organizace, které odmítly zaplatit, tak ty, které zaplatily, abyste pochopili kompromisy spojené s každou cestou.
• Považujte připravenost na ransomware za průběžné cvičení, nikoli jednorázový dokument, a revidujte prahové hodnoty, jak se mění systémy a závislosti vaší organizace.