Shafer-Pages beslutningstre for løsepengevirus: Å sette grenser tidlig

Hvorfor et beslutningstre for løsepengevirus er viktig før alarmen går

Når løsepengevirus rammer, er de første timene kaotiske. Systemer låser seg, ansatte får ikke tilgang til filer, og ledelsen kjemper for å forstå hva som faktisk er ødelagt. Ifølge sikkerhetseksperten Shafer-Page er det ikke organisasjonene med de største sikkerhetsbudsjettene som responderer mest effektivt. Det er de som allerede på forhånd har bestemt nøyaktig hvordan de vil respondere.

Det er kjerneideen bak å bygge et beslutningstre for løsepengevirus: et strukturert, på forhånd avtalt rammeverk som forteller respondere hvilke tiltak de skal iverksette når bestemte betingelser er oppfylt. I stedet for å diskutere strategi midt i en krise, følger teamene ganske enkelt grenene de har kartlagt på forhånd. Det høres enkelt ut, men de fleste organisasjoner har fortsatt ikke ett, og det er derfor responsarbeidet så ofte eskalerer skadene i stedet for å begrense dem.

Å sette klare terskler for data og drift

Den første søylen i et effektivt beslutningstre er å definere terskler før en hendelse inntreffer. Dette betyr å vurdere, i konkrete termer, hva som regnes som et alvorlig angrep på dataintegritet, hva som regnes som en forstyrrelse av operasjonell kontinuitet som produksjonsprosesser, og hva som regnes som skade på kritiske digitale tjenester som offentlig tilgjengelige nettsteder.

Uten den klarheten etablert på forhånd, blir hendelsesrespondere overlatt til å gjette i sanntid hvor alvorlig situasjonen faktisk er. En produksjonslinje som går offline kan kreve umiddelbar orientering til ledelsen og overgang til reservesystemer. Et nettsted med redusert ytelse gjør det kanskje ikke. Men hvis ingen har blitt enige om hvor disse grensene går, reagerer teamene enten for kraftig, ved å ta systemer offline unødvendig, eller for svakt, ved å la en angripers fotfeste spre seg videre mens organisasjonen diskuterer alvorlighetsgrad. Shafer-Pages poeng er enkelt: uklarhet på dette stadiet bremser ikke bare responsen, det gjør faktisk utfallene verre.

Det er også her organisasjoner bør tenke på de digitale tjenestene de er avhengige av daglig. Et nettstedsutfall kan se ubetydelig ut på papiret, men få uforholdsmessige konsekvenser for omdømme og inntekter avhengig av virksomheten. Å kartlegge disse avhengighetene på forhånd, i stedet for under hendelsen selv, er det som skiller en kontrollert respons fra en improvisert en.

Forhandlingsmyndighet og økonomiske grenser

Det andre fokusområdet i beslutningstreet er forhandlingsparametere, og det er uten tvil det mest sensitive av de to. Utpressingskrav trenger en klar myndighetskjede. Hvem har lov til å kommunisere med angripere? Hvem kan autorisere en betaling, og opp til hvilket beløp? Dette er ikke spørsmål en organisasjon ønsker å svare på for første gang mens en løsepengekrav ligger foran dem.

Å sette forhåndsdefinerte økonomiske grenser oppnår to ting. Det forhindrer panikkdrevne beslutninger der et selskap går med på å betale langt mer enn det burde bare fordi ledelsen føler seg presset opp i et hjørne. Og det gir forhandlere, enten interne ansatte eller eksterne konsulenter, et fast mandat å jobbe innenfor i stedet for å måtte søke konstant godkjenning midt i forhandlingen, noe angripere kan utnytte som et tegn på desorganisasjon.

Det er verdt å merke seg at ikke alle organisasjoner velger å forhandle i det hele tatt. Noen enheter har tatt beslutningen, offentlig og på forhånd, om at de ikke vil betale uansett hva som kreves eller trues med. Berlins delstatsregjering nektet å forhandle med Rhysida-løsepengegruppen selv før angriperne åpnet dataauksjonen sin, en holdning som bare fungerer fordi beslutningen ble tatt på forhånd i stedet for under press. På den andre enden av spekteret viser ny forskning at betaling fortsatt skjer oftere enn mange antar: en studie fant at 34 % av firmaer i Australia og New Zealand fortsatt betaler løsepengekrav, til tross for økende bevis for at betaling ikke pålitelig garanterer gjenoppretting av data eller forhindrer fremtidig målretting.

Hva dette betyr for deg

Løsepengeberedskap er ikke bare en bekymring for store virksomheter med dedikerte sikkerhetsteam. Små bedrifter, ideelle organisasjoner, skoler og lokale myndigheter er alle hyppige mål nettopp fordi de har en tendens til å mangle en plan. Hvis organisasjonen din håndterer sensitive data, kan selv en grunnleggende versjon av et beslutningstre for løsepengevirus, et kort dokument som navngir hvem som bestemmer hva og ved hvilken terskel, dramatisk forkorte responstiden og redusere sjansene for et kostbart feiltrinn.

For enkeltpersoner er lærdommen mer indirekte, men fortsatt relevant. Organisasjoner som responderer godt på løsepengevirus har en tendens til å begrense hvor mye av dine personlige data som blir eksponert eller lekket. Å forstå at denne typen planlegging eksisterer, og å spørre om selskapene og institusjonene du er avhengig av har den, er et rimelig spørsmål å stille som forbruker eller klient.

Handlingsrettede punkter

• Definer på forhånd hva som regnes som en kritisk påvirkning på dataintegritet, drift og offentlig tilgjengelige tjenester, ikke vent på en aktiv hendelse for å bestemme.
• Etabler klar myndighet for hvem som kan forhandle med angripere og sett faste økonomiske grenser før noe løsepengekrav ankommer.
• Gjennomgå virkelige eksempler, både organisasjoner som nektet å betale og de som betalte, for å forstå avveiningene involvert i hver vei.
• Behandle løsepengeberedskap som en kontinuerlig øvelse, ikke et engangsdokument, og revider terskler etter hvert som organisasjonens systemer og avhengigheter endres.