Perché un albero decisionale ransomware è importante prima che suoni l'allarme

Quando il ransomware colpisce, le prime ore sono caotiche. I sistemi si bloccano, i dipendenti non riescono ad accedere ai file e i dirigenti si affannano per capire cosa sia effettivamente rotto. Secondo l'esperto di sicurezza Shafer-Page, le organizzazioni che rispondono in modo più efficace non sono quelle con i budget di sicurezza più grandi. Sono quelle che hanno già deciso, in anticipo, esattamente come avrebbero risposto.

Questo è il concetto centrale alla base della costruzione di un albero decisionale ransomware: un quadro strutturato e concordato in anticipo che indica ai responder quali azioni intraprendere una volta soddisfatte determinate condizioni. Invece di dibattere sulla strategia nel mezzo della crisi, i team seguono semplicemente i rami che hanno mappato in precedenza. Sembra semplice, ma la maggior parte delle organizzazioni ancora non ne ha uno, ed è per questo che gli sforzi di risposta spesso aggravano i danni invece di contenerli.

Definire soglie chiare per i dati e le operazioni

Il primo pilastro di un albero decisionale efficace è definire le soglie prima che si verifichi un incidente. Ciò significa valutare, in termini concreti, cosa conta come un colpo grave all'integrità dei dati, cosa conta come un'interruzione della continuità operativa come i processi produttivi, e cosa conta come danno ai servizi digitali critici come i siti web pubblici.

Senza quella chiarezza stabilita in anticipo, i responder agli incidenti sono lasciati a indovinare in tempo reale quanto sia effettivamente grave la situazione. Una linea di produzione che va offline potrebbe giustificare un briefing immediato per i dirigenti e un passaggio ai sistemi di backup. Un sito web degradato potrebbe non giustificarlo. Ma se nessuno ha concordato dove si collocano queste linee, i team o reagiscono in modo eccessivo, mettendo offline sistemi inutilmente, o reagiscono in modo insufficiente, lasciando che il punto d'appoggio dell'attaccante si diffonda ulteriormente mentre l'organizzazione dibatte sulla gravità. Il punto di Shafer-Page è chiaro: l'ambiguità in questa fase non rallenta solo la risposta, peggiora attivamente i risultati.

Questo è anche il momento in cui le organizzazioni dovrebbero riflettere sui servizi digitali da cui dipendono quotidianamente. Un'interruzione di un sito web può sembrare minore sulla carta ma comportare conseguenze reputazionali e di fatturato sproporzionate a seconda del business. Mappare queste dipendenze in anticipo, piuttosto che durante l'incidente stesso, è ciò che distingue una risposta controllata da una improvvisata.

Autorità di negoziazione e limiti finanziari

Il secondo ambito di attenzione nell'albero decisionale sono i parametri di negoziazione, ed è probabilmente il più delicato dei due. Le richieste di estorsione necessitano di una chiara catena di autorità. Chi è autorizzato a interagire con gli attaccanti? Chi può autorizzare un pagamento, e fino a quale importo in dollari? Non sono domande a cui un'organizzazione vuole rispondere per la prima volta mentre ha una richiesta di riscatto davanti a sé.

Stabilire limiti finanziari predefiniti raggiunge due obiettivi. Previene decisioni dettate dal panico in cui un'azienda accetta di pagare molto più di quanto dovrebbe semplicemente perché la leadership si sente messa alle strette. E offre ai negoziatori, siano essi personale interno o consulenti esterni, un mandato fermo entro cui operare, invece di dover cercare costantemente approvazioni durante la negoziazione, cosa che gli attaccanti possono sfruttare come segno di disorganizzazione.

Vale la pena notare che non tutte le organizzazioni scelgono di negoziare. Alcune entità hanno preso la decisione, pubblicamente e in anticipo, di non pagare indipendentemente da ciò che viene richiesto o minacciato. Il governo dello stato di Berlino ha rifiutato di negoziare con il gruppo ransomware Rhysida ancora prima che gli attaccanti aprissero la loro asta dei dati, una posizione che funziona solo perché la decisione è stata presa in anticipo piuttosto che sotto pressione. All'altro estremo dello spettro, ricerche recenti mostrano che il pagamento avviene ancora più spesso di quanto molti presuppongano: uno studio ha rilevato che il 34% delle aziende in Australia e Nuova Zelanda paga ancora le richieste di ransomware, nonostante le prove crescenti che il pagamento non garantisca in modo affidabile il recupero dei dati né prevenga futuri attacchi mirati.

Cosa significa per te

La preparazione al ransomware non è solo una preoccupazione per le grandi imprese con team di sicurezza dedicati. Piccole imprese, organizzazioni no-profit, scuole e governi locali sono tutti bersagli frequenti proprio perché tendono a mancare di un piano. Se la tua organizzazione gestisce dati sensibili, anche una versione base di un albero decisionale ransomware, un breve documento che nomina chi decide cosa e a quale soglia, può ridurre drasticamente i tempi di risposta e ridurre le probabilità di un passo falso costoso.

Per gli individui, il messaggio è più indiretto ma comunque rilevante. Le organizzazioni che rispondono bene al ransomware tendono a limitare quanto dei tuoi dati personali venga esposto o divulgato. Capire che questo tipo di pianificazione esiste, e chiedere se le aziende e le istituzioni su cui fai affidamento la possiedono, è una domanda ragionevole da porre come consumatore o cliente.

Azioni concrete da intraprendere

  • Definisci in anticipo cosa conta come impatto critico all'integrità dei dati, alle operazioni e ai servizi pubblici, non aspettare un incidente attivo per deciderlo.
  • Stabilisci un'autorità chiara su chi può negoziare con gli attaccanti e fissa limiti finanziari fermi prima che arrivi qualsiasi richiesta di riscatto.
  • Esamina esempi reali, sia organizzazioni che hanno rifiutato di pagare sia quelle che lo hanno fatto, per comprendere i compromessi implicati in ciascun percorso.
  • Tratta la preparazione al ransomware come un esercizio continuo, non un documento una tantum, e rivedi le soglie man mano che i sistemi e le dipendenze della tua organizzazione cambiano.