Miksi kiristyshaittaohjelmien päätöspuulla on merkitystä ennen hälytyksen soimista

Kun kiristyshaittaohjelma iskee, ensimmäiset tunnit ovat kaaoottisia. Järjestelmät lukkiutuvat, työntekijät eivät pääse tiedostoihin käsiksi ja johto yrittää epätoivoisesti ymmärtää, mikä oikeastaan on rikki. Tietoturva-asiantuntija Shafer-Pagen mukaan tehokkaimmin reagoivat organisaatiot eivät ole niitä, joilla on suurimmat tietoturvabudjetit. Ne ovat niitä, jotka ovat jo etukäteen päättäneet, miten ne tarkalleen ottaen reagoivat.

Tämä on kiristyshaittaohjelmien päätöspuun rakentamisen ydinajatus: jäsennelty, etukäteen sovittu kehys, joka kertoo vastaajille, mitä toimenpiteitä on tehtävä, kun tietyt ehdot täyttyvät. Sen sijaan, että strategiasta väiteltäisiin kriisin keskellä, tiimit yksinkertaisesti seuraavat haaroja, jotka ne ovat kartoittaneet etukäteen. Se kuulostaa yksinkertaiselta, mutta useimmilla organisaatioilla ei vieläkään ole sellaista, minkä vuoksi vastaustoimet niin usein pahentavat vahinkoja sen sijaan, että ne rajoittaisivat niitä.

Selkeiden kynnysarvojen asettaminen datalle ja toiminnalle

Tehokkaan päätöspuun ensimmäinen pilari on kynnysarvojen määrittäminen ennen tapahtuman sattumista. Tämä tarkoittaa konkreettista arviointia siitä, mitä pidetään vakavana iskuna datan eheydelle, mitä pidetään häiriönä toiminnan jatkuvuudelle, kuten valmistusprosesseille, ja mitä pidetään vahinkona kriittisille digitaalisille palveluille, kuten julkisille verkkosivustoille.

Ilman etukäteen vahvistettua selkeyttä tapahtuman vastaajat joutuvat arvailemaan reaaliajassa, kuinka vakava tilanne todella on. Tuotantolinjan pysähtyminen saattaa edellyttää välitöntä johdon tiedottamista ja siirtymistä varajärjestelmiin. Heikentynyt verkkosivusto ei välttämättä. Mutta jos kukaan ei ole sopinut, missä nämä rajat kulkevat, tiimit joko ylireagoivat, kytkevät järjestelmiä tarpeettomasti pois päältä, tai alireagoivat, antavat hyökkääjän jalansijan levitä pidemmälle samalla kun organisaatio väittelee vakavuudesta. Shafer-Pagen pointti on suoraviivainen: epäselvyys tässä vaiheessa ei ainoastaan hidasta vastausta, vaan aktiivisesti pahentaa lopputuloksia.

Tässä yhteydessä organisaatioiden tulisi myös pohtia digitaalisia palveluita, joista ne ovat päivittäin riippuvaisia. Verkkosivuston katkos voi näyttää paperilla merkityksettömältä mutta aiheuttaa suhteettoman suuria maine- ja tulovaikutuksia liiketoiminnasta riippuen. Näiden riippuvuuksien kartoittaminen etukäteen, eikä itse tapahtuman aikana, on se, mikä erottaa hallitun vastauksen improvisoidusta.

Neuvotteluvaltuudet ja taloudelliset rajat

Päätöspuun toinen painopistealue on neuvotteluparametrit, ja se on väiteltävästi näistä kahdesta arkaluontoisempi. Kiristysvaatimukset tarvitsevat selkeän valtahierarkian. Kuka saa olla yhteydessä hyökkääjiin? Kuka voi valtuuttaa maksun, ja mihin dollarimäärään asti? Nämä eivät ole kysymyksiä, joihin organisaatio haluaa vastata ensimmäistä kertaa, kun lunnaat ovat sen edessä.

Ennalta määritetyt taloudelliset rajat saavuttavat kaksi asiaa. Ne estävät paniikin ajamia päätöksiä, joissa yritys suostuu maksamaan paljon enemmän kuin sen pitäisi, yksinkertaisesti siksi, että johto tuntee olevansa nurkkaan ajettu. Ja ne antavat neuvottelijoille, olivatpa he sisäisiä työntekijöitä tai ulkopuolisia konsultteja, vahvan toimeksiannon, jonka puitteissa työskennellä, sen sijaan että heidän täytyisi hakea jatkuvasti hyväksyntää kesken neuvottelujen, mitä hyökkääjät voivat hyödyntää merkkinä epäjärjestyksestä.

On syytä huomata, että kaikki organisaatiot eivät valitse neuvottelemista lainkaan. Jotkin tahot ovat tehneet päätöksen, julkisesti ja etukäteen, etteivät ne maksa riippumatta siitä, mitä vaaditaan tai uhataan. Berliinin osavaltion hallitus kieltäytyi neuvottelemasta Rhysida-kiristyshaittaohjelmaryhmän kanssa jo ennen kuin hyökkääjät avasivat tietohuutokauppansa, ja tällainen linja toimii vain siksi, että päätös tehtiin etukäteen eikä paineen alla. Toisessa ääripäässä tuore tutkimus osoittaa, että maksaminen tapahtuu edelleen useammin kuin monet olettavat: tutkimus havaitsi, että 34 % Australian ja Uuden-Seelannin yrityksistä maksaa edelleen kiristyshaittaohjelmavaatimuksia, huolimatta kasvavasta näytöstä siitä, että maksaminen ei luotettavasti takaa tietojen palauttamista tai estä tulevaa kohdistamista.

Mitä tämä tarkoittaa sinulle

Kiristyshaittaohjelmiin varautuminen ei ole vain suurten yritysten, joilla on omat tietoturvatiimit, huolenaihe. Pienyritykset, voittoa tavoittelemattomat järjestöt, koulut ja paikallishallinnot ovat kaikki yleisiä kohteita juuri siksi, että niillä on tapana puuttua suunnitelma. Jos organisaatiosi käsittelee arkaluontoisia tietoja, edes perusversio kiristyshaittaohjelmien päätöspuusta, lyhyt asiakirja, jossa nimetään kuka päättää mitä ja millä kynnysarvolla, voi merkittävästi lyhentää vasteaikaa ja vähentää kalliin virheaskeleen todennäköisyyttä.

Yksityishenkilöille opetus on epäsuorempi mutta silti relevantti. Organisaatiot, jotka reagoivat hyvin kiristyshaittaohjelmiin, rajoittavat yleensä sitä, kuinka paljon henkilötietojasi paljastuu tai vuotaa. Sen ymmärtäminen, että tällaista suunnittelua on olemassa, ja sen kysyminen, onko yrityksillä ja instituutioilla, joihin luotat, sitä, on kohtuullinen kysymys esittää kuluttajana tai asiakkaana.

Konkreettiset johtopäätökset

  • Määritä etukäteen, mitä pidetään kriittisenä vaikutuksena datan eheyteen, toimintaan ja julkisiin palveluihin, älä odota aktiivista tapahtumaa päättääksesi.
  • Vahvista selkeät valtuudet sille, kuka voi neuvotella hyökkääjien kanssa, ja aseta tiukat taloudelliset rajat ennen kuin lunastusvaatimus saapuu.
  • Käy läpi todellisia esimerkkejä, sekä organisaatioista, jotka kieltäytyivät maksamasta että niistä, jotka maksoivat, ymmärtääksesi kumpaankin polkuun liittyvät kompromissit.
  • Käsittele kiristyshaittaohjelmiin varautumista jatkuvana harjoituksena, ei kertaluonteisena asiakirjana, ja tarkista kynnysarvot uudelleen, kun organisaatiosi järjestelmät ja riippuvuudet muuttuvat.