Hvorfor et ransomware-beslutningstræ er vigtigt, før alarmen lyder

Når ransomware rammer, er de første timer kaotiske. Systemer låser, medarbejdere kan ikke få adgang til filer, og ledelsen kæmper for at forstå, hvad der egentlig er brudt ned. Ifølge sikkerhedsekspert Shafer-Page er det ikke de organisationer med de største sikkerhedsbudgetter, der reagerer mest effektivt. Det er dem, der allerede på forhånd har besluttet præcis, hvordan de vil reagere.

Det er kerneidéen bag at bygge et ransomware-beslutningstræ: et struktureret, på forhånd aftalt rammeværk, der fortæller respondenterne, hvilke handlinger de skal tage, når bestemte betingelser er opfyldt. I stedet for at debattere strategi midt i en krise følger teamene blot de grene, de har kortlagt på forhånd. Det lyder enkelt, men de fleste organisationer har stadig ikke et, og det er grunden til, at indsatsen så ofte eskalerer skaden i stedet for at begrænse den.

Fastlæggelse af klare tærskler for data og drift

Den første søjle i et effektivt beslutningstræ er at definere tærskler, før en hændelse opstår. Det betyder at vurdere i konkrete vendinger, hvad der tæller som et alvorligt slag mod dataintegritet, hvad der tæller som en afbrydelse af driftskontinuiteten såsom produktionsprocesser, og hvad der tæller som skade på kritiske digitale tjenester som offentligt tilgængelige hjemmesider.

Uden den klarhed etableret på forhånd står incident-respondere tilbage med at gætte i realtid om, hvor alvorlig situationen egentlig er. En produktionslinje, der går offline, kan berettige en øjeblikkelig orientering af ledelsen og en overgang til backupsystemer. En nedsat hjemmeside gør måske ikke. Men hvis ingen har aftalt, hvor grænserne ligger, reagerer teamene enten for kraftigt og tager systemer offline unødvendigt, eller for svagt og lader angriberens fodfæste sprede sig yderligere, mens organisationen diskuterer alvorlighedsgraden. Shafer-Pages pointe er ligetil: uklarhed på dette stadie forsinker ikke bare responsen, det gør aktivt udfaldet værre.

Det er også her, organisationer bør tænke over de digitale tjenester, de er afhængige af dagligt. En hjemmeside-nedetid kan se ubetydelig ud på papiret, men have uforholdsmæssigt store omdømmemæssige og økonomiske konsekvenser afhængigt af forretningen. At kortlægge disse afhængigheder på forhånd, i stedet for under selve hændelsen, er det, der adskiller en kontrolleret respons fra en improviseret en.

Forhandlingsbeføjelse og økonomiske grænser

Det andet fokusområde i beslutningstræet er forhandlingsparametre, og det er efter alt at dømme det mest følsomme af de to. Afpresningskrav har brug for en klar bemyndigelseskæde. Hvem må kommunikere med angribere? Hvem kan godkende en betaling, og op til hvilket beløb? Det er ikke spørgsmål, en organisation ønsker at besvare for første gang, mens en løsesumsseddel ligger foran dem.

At sætte foruddefinerede økonomiske grænser opnår to ting. Det forhindrer panikdrevne beslutninger, hvor en virksomhed accepterer at betale langt mere, end den burde, blot fordi ledelsen føler sig trængt op i en krog. Og det giver forhandlere, uanset om det er internt personale eller eksterne konsulenter, et fast mandat at arbejde inden for i stedet for at skulle søge konstant godkendelse midt i forhandlingen, hvilket angribere kan udnytte som tegn på desorganisation.

Det er værd at bemærke, at ikke alle organisationer vælger at forhandle overhovedet. Nogle enheder har truffet beslutningen, offentligt og på forhånd, om at de ikke vil betale, uanset hvad der kræves eller trues med. Berlins delstatsregering nægtede at forhandle med Rhysida-ransomwaregruppen, selv før angriberne åbnede deres dataauktion, en holdning der kun fungerer, fordi beslutningen blev truffet på forhånd frem for under pres. I den anden ende af spektret viser ny forskning, at betaling stadig sker oftere, end mange antager: en undersøgelse fandt, at 34 % af virksomheder i Australien og New Zealand stadig betaler ransomware-krav, på trods af voksende evidens for, at betaling ikke pålideligt garanterer data genoprettet eller forhindrer fremtidig målretning.

Hvad dette betyder for dig

Ransomware-beredskab er ikke kun en bekymring for store virksomheder med dedikerede sikkerhedsteams. Små virksomheder, nonprofitorganisationer, skoler og lokale myndigheder er alle hyppige mål, netop fordi de har en tendens til at mangle en plan. Hvis din organisation håndterer følsomme data, kan selv en grundlæggende version af et ransomware-beslutningstræ, et kort dokument, der navngiver hvem der beslutter hvad og ved hvilken tærskel, dramatisk forkorte responstiden og reducere sandsynligheden for et kostbart fejltrin.

For enkeltpersoner er budskabet mere indirekte, men stadig relevant. Organisationer, der reagerer godt på ransomware, har en tendens til at begrænse, hvor meget af dine personlige data der bliver eksponeret eller lækket. At forstå, at denne form for planlægning eksisterer, og at spørge, om de virksomheder og institutioner, du er afhængig af, har den, er et rimeligt spørgsmål at stille som forbruger eller klient.

Handlingsorienterede pointer

  • Definer på forhånd, hvad der tæller som en kritisk påvirkning af dataintegritet, drift og offentligt tilgængelige tjenester, vent ikke på en aktiv hændelse med at beslutte det.
  • Etabler klar bemyndigelse for, hvem der kan forhandle med angribere, og sæt faste økonomiske grænser, før noget løsesumskrav ankommer.
  • Gennemgå virkelige eksempler, både organisationer der nægtede at betale, og dem der betalte, for at forstå afvejningerne i hver vej.
  • Behandl ransomware-beredskab som en løbende øvelse, ikke et engangsdokument, og revider tærskler, efterhånden som din organisations systemer og afhængigheder ændrer sig.