Kun yrityksen näytöille ilmestyy lunnaita vaativa viesti, se mielletään usein IT-hätätilanteeksi: eristetään verkko, kutsutaan turvallisuustiimi, arvioidaan palvelinten vahingot. Mutta yhä useammat ohjeistukset, tuoreimpana Cyber Dailyn erittely kyberkiristykseen liittyvästä päätöksenteosta, tekevät selväksi, että lunnaiden maksaminen tai maksamatta jättäminen on paljon enemmän kuin tekninen valinta. Se on oikeudellinen, taloudellinen ja ennen kaikkea tietosuojaan liittyvä päätös, joka koskettaa jokaista asiakasta, työntekijää ja yhteistyökumppania, jonka tiedot ovat vuotaneisiin järjestelmiin tallennettuina.

Lunnaisiin liittyvä oikeudellinen miinakenttä

Yksi kyberkiristyksen vähiten huomioiduista puolista on se, ettei rikollisten maksaminen ole aina juridisesti yksinkertaista. Riippuen siitä, kuka hyökkäyksen takana on, lunnasmaksu voi altistaa maksavan organisaation pakoteriskille, erityisesti silloin, kun hyökkääjä tai tämän infrastruktuuri on kytköksissä pakotteiden kohteena olevaan tahoon tai lainkäyttöalueeseen. Organisaatiot, jotka kiirehtivät maksamaan ilman oikeudellista tarkastelua, voivat joutua viranomaisselvityksen kohteeksi itse tietomurron lisäksi. Kuten aiemmassa katsauksessamme siitä, kuinka lunnasmaksut voivat johtaa OFAC-pakotteisiin, todetaan, maksupäätös ei koske ainoastaan sitä, onko yrityksellä varaa vaadittuun summaan. Kyse on siitä, onko itse maksu laillinen ja onko organisaatio tehnyt riittävän huolellisuusvelvoitteensa selvittääkseen asian.

Juuri siksi kyberkiristykseen reagoiminen ei voi olla pelkästään IT-osaston vastuulla. Oikeudellisten neuvonantajien, compliance-vastaavien ja usein myös viranomaisten on oltava mukana keskustelussa heti alusta alkaen, ei vasta sen jälkeen, kun maksu on jo suoritettu.

Miksi tämä on tietosuojaongelma eikä vain IT-ongelma

Ennen kiristyshaittaohjelmien tarkoituksena oli ensisijaisesti tiedostojen lukitseminen. Se on muuttunut. Nykyaikaiset kiristysryhmät varastavat yhä useammin tiedot ennen niiden salaamista ja käyttävät vuodon uhkaa vipuvartena. Tämä muutos tekee jokaisesta kiristyshaittaohjelmatapauksesta tietosuojaan liittyvän tapahtuman riippumatta siitä, saadaanko järjestelmät lopulta palautettua.

Olemme nähneet tämän kehityksen kiihtyvän reaaliajassa. Jotkut ryhmät ovat menneet pidemmälle kuin uhkaamalla suoraan uhriorganisaatiota ja uhkaavat nyt ottaa yhteyttä yrityksen omiin asiakkaisiin painostaen sitä kautta niitä ihmisiä, joiden henkilötiedot ovat todellisuudessa vaakalaudalla. Tämä taktiikka muuttaa laskelmat täysin: edes täysimääräinen lunnasmaksu ei takaa, ettei varastettuja asiakastietoja vuodeta, myydä tai käytetä uuteen kiristykseen.

Organisaatioiden, jotka punnitsevat lunnaisiin liittyvää vaatimusta, on kysyttävä paitsi ”voimmeko palauttaa järjestelmämme” myös ”mitä tapahtuu kaikkien järjestelmissämme olevien henkilötiedoille, päätimmepä mitä tahansa”. Lunnasmaksulla voi ostaa salauksenpurkaimen. Se ei pyyhi pois sitä tosiasiaa, että arkaluonteiset tiedot altistuivat rikollisille alun alkaenkaan.

Maksaminen ei takaa turvallisuutta

Silloinkaan, kun organisaatiot maksavat, ei ole luotettavaa näyttöä siitä, että ongelma poistuisi. Proofpointin tutkimuksessa havaittiin, että merkittävä osa lunnaita maksaneista yrityksistä joutuu toistuvan kiristyksen kohteeksi, joskus samojen hyökkääjien palatessa hakemaan toista maksua. Nämä tiedot kyseenalaistavat yhden yleisimmistä maksamisen perusteluista: uskomuksen, että se saa ongelman katoamaan.

Jotkut organisaatiot ovat valinneet täysin toisenlaisen tien. Sveitsiläinen junavalmistaja Stadler Rail kieltäytyi julkisesti monen miljoonan dollarin lunnasvaatimuksesta sen jälkeen, kun hyökkääjät olivat varastaneet tietoja kolmannen osapuolen toimittajan kautta, ja vetosi siihen, että kieltäytyminen oli pienempi riski kuin kiristystalouden oikeuttaminen. Samaan aikaan kiristyshaittaohjelmien kenttä kehittyy jatkuvasti; tuore alan yhteenveto siitä, mitkä ryhmät hallitsevat nykyistä uhkaympäristöä, osoittaa, että yhdelle ryhmälle maksaminen ei vähennä kymmenien muiden edelleen aktiivisten ryhmien muodostamaa kokonaisriskiä.

Mitä tämä tarkoittaa sinulle

Johditpa sitten pientä yritystä tai hallinnoit suuren organisaation turvallisuutta, päätöstä maksamisesta tai maksamatta jättämisestä ei pitäisi koskaan tehdä yksin palvelimia hallinnoivien toimesta. Se edellyttää oikeudellista tarkastelua pakote- ja sääntelyriskien varalta, tietosuojan arviointia siitä, mitä tietoja tarkalleen ottaen on päätynyt vääriin käsiin, sekä realistista ymmärrystä siitä, ettei maksu tarjoa mitään takuuta tulevaa kiristystä tai vuotoja vastaan. Tavallisten kuluttajien kannalta johtopäätös on erilainen mutta samankaltainen: henkilötietojesi turvallisuus tietomurron jälkeen riippuu suurelta osin päätöksistä, joita tekevät yritykset, joiden kanssa et ehkä koskaan ole suoraan tekemisissä. Siksi on tärkeää ymmärtää, miten organisaatiot käsittelevät kyberkiristystä, vaikka et itse olisikaan lunnaita vaativan viestin edessä.

Käytännön toimenpiteet

Organisaatioiden tulisi laatia toimintasuunnitelma tietoturvaloukkausten varalle jo ennen hyökkäystä; suunnitelmaan on sisällytettävä nimenomaisesti oikeudelliset neuvonantajat ja tietosuojan arviointi teknisen korjaamisen rinnalle. Lunnaisiin liittyvää päätöstä ei saa koskaan pitää puhtaasti taloudellisena; pakotteisiin ja vaatimustenmukaisuuteen liittyvät riskit ovat todellisia ja voivat pahentaa alkuperäistä tietomurtoa. Olettakaa, että kaikki viedyt tiedot voivat olla jo vaarantuneet maksusta riippumatta, ja suunnitelkaa asiakkaiden ja työntekijöiden tiedottaminen sen mukaisesti. Muistakaa lopuksi, että turvallisin pitkän aikavälin strategia kyberkiristystä vastaan ei ole nopea lunnasmaksu vaan vahvemmat puolustuskeinot, jotka estävät koko kiristysyrityksen onnistumisen alun perinkään.