Et forbud mod at betale cyberkriminelle nærmer sig lovgivning

I årevis er ransomware-forhandlinger i Storbritannien foregået stille og roligt, bag lukkede døre, hvor organisationer har afvejet omkostningerne ved en udbetaling mod omkostningerne ved nedetid, datatab eller offentlig eksponering. Den beregning er ved at ændre sig. Den britiske regering har fremmet forslag om et målrettet forbud mod ransomware-betalinger, som vil forbyde offentlige myndigheder, herunder lokalforvaltningen, samt ejere og operatører af kritisk national infrastruktur (CNI) at betale løsepenge til cyberkriminelle overhovedet.

Forbuddet vil gælde bredt i hele den offentlige sektor og på tværs af de 13 sektorer, der er klassificeret som CNI, herunder sundhed, energi, finans, transport, kommunikation og forsvar. For organisationer uden for dette område er billedet anderledes, men stadig bemærkelsesværdigt: Private virksomheder, der overvejer at betale en løsesum, vil være forpligtet til at underrette regeringen, før de gør det, hvilket giver myndighederne indsigt i et problem, der historisk set har været underrapporteret.

Dette er ikke en hypotetisk øvelse. Det repræsenterer et af de mest betydningsfulde skift i britisk cybersikkerhedspolitik i årevis, og det lægger reelt pres på offentlige myndigheder og infrastrukturoperatører for at gentænke, hvordan de forbereder sig på og kommer sig efter ransomware-hændelser, ikke bare hvordan de reagerer på krav, når et angreb allerede er sket.

Hvorfor dette fundamentalt er et spørgsmål om privatliv og databeskyttelse

Forbud mod løsepenge bliver ofte udelukkende fremstillet som kriminalitetsbekæmpelsespolitik, hvor logikken er, at ved at afskære betalinger fjerner man den økonomiske tilskyndelse for angribere til at målrette britiske institutioner. Men under den fremstilling ligger et sværere privatlivsspørgsmål: Hvad sker der med borgernes og patienternes data, når muligheden for at betale fjernes?

Når en hospitalstillid, et kommunalt organ eller en infrastrukturoperatør rammes af ransomware og nægter (eller nu er retligt forhindret i) at betale, truer angribere ofte med at lække stjålne data i stedet. Disse data kan omfatte sundhedsjournaler, oplysninger om ydelser, skoleregistre eller personlige oplysninger knyttet til essentielle tjenester. Når disse data først er eksfiltreret, kan ingen politisk ændring fortryde eksponeringen. Et betalingsforbud reducerer ikke mængden af personlige data, som kriminelle stjæler før kryptering; det fjerner kun én mulig vej til at forhindre deres frigivelse.

Det er her, forbuddet direkte krydser databeskyttelsesforpligtelser. Offentlige myndigheder og CNI-operatører har allerede pligter vedrørende indberetning af brud og beskyttelse af personlige data. Et betalingsforbud øger indsatsen i den forebyggende ende: Da betaling ikke længere er en mulighed for at få en lækagetrussel til at forsvinde, har organisationer brug for vandtætte forebyggelses-, detektions- og gendannelsesevner for at undgå nogensinde at nå det punkt i første omgang. Reelt flytter politikken byrden fra krisforhandling mod proaktiv modstandsdygtighed, hvilket er præcis, hvor beskyttelse af privatlivets fred burde have været fokuseret hele tiden.

Hvad offentlige myndigheder og CNI-organisationer bør gøre, før loven træder i kraft

Organisationer inden for scope bør ikke vente med at handle, til lovgivningen er færdigbehandlet. Flere praktiske skridt er værd at prioritere nu:

  • Test backup- og gendannelsesprocesser under realistiske forhold. Et betalingsforbud virker kun, hvis gendannelse uden at betale faktisk er gennemførlig. Backups skal isoleres fra primære netværk, testes regelmæssigt og være hurtige nok til at gendanne kritiske tjenester inden for acceptable tidsrammer.
  • Kortlæg dataflows og klassificér følsomme registre. At vide præcis hvilke personlige eller følsomme data der findes hvor, og hvordan de er beskyttet, er essentielt for både brudhåndtering og regulatorisk overholdelse, når forbuddet træder i kraft.
  • Opdatér hændelseshåndteringsplaner til at afspejle virkeligheden uden betaling. Playbooks skrevet ud fra antagelsen om, at betaling fortsat er en mulighed, skal omskrives med fokus på inddæmning, kommunikation og gendannelse uden en løsepenge-fallback.
  • Gennemgå leverandørers og tredjeparters adgang. Mange ransomware-hændelser opstår gennem leverandører eller forsyningskædeplatforme snarere end direkte angreb. Den schweiziske producent Stalders afvisning af at betale en løsesum, efter at angribere kompromitterede tekniske data gennem en leverandørplatform, er et nyttigt virkelighedseksempel på, hvordan tredjepartseksponering kan udløse en større hændelse, selv når en organisations egne systemer er sikre.
  • Engagér dig tidligt med cyberforsikringsudbydere. Policer, der antog, at løsepengebetalinger var en dækket gendannelsesmulighed, vil skulle revurderes.

Hvad dette betyder for dig

Hvis du er afhængig af offentlige tjenester, hvad enten det er NHS, kommunale tjenester eller forsyningsselskaber klassificeret som CNI, påvirker dette politiske skift, hvordan dine data beskyttes under et angreb, ikke bare hvorvidt en organisation betaler kriminelle. Et betalingsforbud garanterer ikke, at dine data ikke bliver stjålet, men det skubber offentlige myndigheder mod stærkere forebyggelse og hurtigere, mere gennemsigtig gendannelse, da det ikke længere er en mulighed at betale sig stille ud af et problem. Forvent mere offentlig oplysning om hændelser, der påvirker disse sektorer, i takt med at rapporteringskravene strammes sammen med forbuddet.

Vigtige pointer

Det britiske forbud mod ransomware-betaling markerer et bevidst skridt væk fra at betragte løsepengebetalinger som en acceptabel sidste udvej for offentlige institutioner og kritisk infrastruktur. For organisationer inden for scope er prioriteten nu modstandsdygtighed: testede backups, kortlagte dataværdier, opdaterede hændelseshåndteringsplaner og granskede leverandørrelationer. For alle andre er forbuddet et signal om, at gennemsigtighed og ansvarlighed omkring ransomware-hændelser, der påvirker essentielle tjenester, snart vil øges. At holde sig informeret om, hvordan din lokale myndighed, sundhedsudbyder eller forsyningsvirksomhed håndterer disse krav, er et rimeligt og værdifuldt skridt, i takt med at lovgivningen nærmer sig at blive lov.