Zašto je stablo odlučivanja o ransomwareu važno prije nego se oglasi alarm

Kada vas napadne ransomware, prvi su sati kaotični. Sustavi se blokiraju, zaposlenici ne mogu pristupiti datotekama, a rukovoditelji se trude razumjeti što je zapravo pokvareno. Prema sigurnosnom stručnjaku Shafer-Pageu, organizacije koje najučinkovitije reagiraju nisu one s najvećim sigurnosnim proračunima. To su one koje su već unaprijed odlučile točno kako će reagirati.

To je temeljna ideja iza izrade stabla odlučivanja o ransomwareu: strukturiranog, unaprijed dogovorenog okvira koji govori onima koji reagiraju koje radnje poduzeti kada se ispune određeni uvjeti. Umjesto rasprave o strategiji usred krize, timovi jednostavno slijede grane koje su unaprijed zacrtali. Zvuči jednostavno, ali većina organizacija još uvijek ga nema, zbog čega napori u reakciji tako često povećavaju štetu umjesto da je obuzdaju.

Postavljanje jasnih pragova za podatke i poslovanje

Prvi stup učinkovitog stabla odlučivanja je definiranje pragova prije nego se incident dogodi. To znači konkretno procijeniti što se smatra ozbiljnim udarom na integritet podataka, što se smatra prekidom operativnog kontinuiteta kao što su proizvodni procesi, i što se smatra štetom na kritičnim digitalnim uslugama poput javno dostupnih web stranica.

Bez te jasnoće utvrđene unaprijed, oni koji reagiraju na incident ostaju nagađati u stvarnom vremenu koliko je situacija zapravo ozbiljna. Prekid proizvodne linije mogao bi opravdati hitan sastanak rukovodstva i prelazak na rezervne sustave. Os labljena web stranica možda ne bi. Ali ako se nitko nije dogovorio gdje te granice leže, timovi ili pretjerano reagiraju, isključujući sustave nepotrebno, ili nedovoljno reagiraju, dopuštajući napadačevom uporištu da se dalje širi dok organizacija raspravlja o ozbiljnosti. Shafer-Pageova je poanta jasna: nejasnoća u ovoj fazi ne samo da usporava reakciju, ona aktivno pogoršava ishode.

Ovo je također mjesto gdje bi organizacije trebale razmisliti o digitalnim uslugama o kojima svakodnevno ovise. Prekid rada web stranice može na papiru izgledati beznačajno, ali može nositi nerazmjerno velike reputacijske i financijske posljedice ovisno o poslovanju. Unaprijedno mapiranje tih ovisnosti, umjesto tijekom samog incidenta, ono je što razlikuje kontroliranu reakciju od improvizirane.

Ovlast za pregovaranje i financijska ograničenja

Drugo fokusno područje u stablu odlučivanja su parametri pregovaranja, i to je vjerojatno osjetljivije od dvaju. Zahtjevi za iznudom trebaju jasan lanac ovlasti. Tko smije komunicirati s napadačima? Tko može odobriti plaćanje i do kojeg iznosa u dolarima? To nisu pitanja na koja organizacija želi odgovarati prvi put dok joj pred očima stoji zahtjev za otkupninu.

Postavljanje unaprijed definiranih financijskih ograničenja postiže dvije stvari. Sprječava odluke vođene panikom u kojima tvrtka pristaje platiti daleko više nego što bi trebala samo zato što se rukovodstvo osjeća stjerano u kut. I daje pregovaračima, bilo internom osoblju ili vanjskim savjetnicima, čvrst mandat u okviru kojeg mogu raditi, umjesto da moraju tražiti stalno odobrenje tijekom pregovora, što napadači mogu iskoristiti kao znak neorganiziranosti.

Vrijedi napomenuti da ne odlučuje svaka organizacija uopće pregovarati. Neki subjekti donijeli su odluku, javno i unaprijed, da neće platiti bez obzira na to što se zahtijeva ili prijeti. Vlada savezne države Berlin odbila je pregovarati s ransomware grupom Rhysida čak i prije nego što su napadači otvorili svoju aukciju podataka, stav koji funkcionira samo zato što je odluka donesena unaprijed, a ne pod pritiskom. Na drugom kraju spektra, nedavno istraživanje pokazuje da se plaćanje ipak događa češće nego što mnogi pretpostavljaju: studija je pokazala da 34% tvrtki u Australiji i Novom Zelandu još uvijek plaća zahtjeve za otkupninu, unatoč rastućim dokazima da plaćanje ne jamči pouzdano oporavak podataka niti sprječava buduće napade.

Što to znači za vas

Pripremljenost za ransomware nije samo briga velikih poduzeća s namjenskim sigurnosnim timovima. Male tvrtke, neprofitne organizacije, škole i lokalne uprave svi su česte mete upravo zato što obično nemaju plan. Ako vaša organizacija rukuje osjetljivim podacima, čak i osnovna verzija stabla odlučivanja o ransomwareu, kratki dokument koji imenuje tko odlučuje što i na kojem pragu, može dramatično skratiti vrijeme reakcije i smanjiti vjerojatnost skupe pogreške.

Za pojedince je pouka neizravnija, ali još uvijek relevantna. Organizacije koje dobro reagiraju na ransomware obično ograničavaju koliko se vaših osobnih podataka izlaže ili procuri. Razumijevanje da takvo planiranje postoji, i pitanje imaju li ga tvrtke i institucije na koje se oslanjate, razumno je pitanje koje možete postaviti kao potrošač ili klijent.

Praktični zaključci

  • Unaprijed definirajte što se smatra kritičnim utjecajem na integritet podataka, poslovanje i javno dostupne usluge, ne čekajte aktivan incident da biste odlučili.
  • Uspostavite jasnu ovlast za to tko može pregovarati s napadačima i postavite čvrsta financijska ograničenja prije nego stigne bilo kakav zahtjev za otkupninu.
  • Pregledajte stvarne primjere, i organizacija koje su odbile platiti i onih koje su platile, kako biste razumjeli kompromise uključene u svaki put.
  • Tretirajte pripremljenost za ransomware kao kontinuiranu vježbu, a ne jednokratni dokument, i revidirajte pragove kako se sustavi i ovisnosti vaše organizacije mijenjaju.