Dlaczego drzewo decyzyjne dotyczące ransomware ma znaczenie, zanim zabrzmi alarm

Gdy ransomware uderza, pierwsze godziny są chaotyczne. Systemy się blokują, pracownicy nie mają dostępu do plików, a kadra zarządzająca gorączkowo próbuje zrozumieć, co właściwie przestało działać. Według eksperta ds. bezpieczeństwa Shafer-Page'a organizacje, które reagują najskuteczniej, to nie te z największymi budżetami na bezpieczeństwo. To te, które już wcześniej zdecydowały, dokładnie jak zamierzają reagować.

To jest sedno idei budowania drzewa decyzyjnego dotyczącego ransomware: ustrukturyzowanych, wcześniej uzgodnionych ram, które mówią osobom reagującym, jakie działania podjąć, gdy spełnione zostaną określone warunki. Zamiast debatować nad strategią w środku kryzysu, zespoły po prostu podążają za gałęziami, które wyznaczyły wcześniej. Brzmi to prosto, ale większość organizacji wciąż takiego drzewa nie ma, dlatego działania reagujące tak często eskalują szkody, zamiast je ograniczać.

Ustalanie jasnych progów dla danych i operacji

Pierwszym filarem skutecznego drzewa decyzyjnego jest zdefiniowanie progów, zanim wystąpi incydent. Oznacza to ocenę w konkretnych kategoriach tego, co liczy się jako poważny cios w integralność danych, co liczy się jako zakłócenie ciągłości operacyjnej, takiej jak procesy produkcyjne, oraz co liczy się jako szkoda dla krytycznych usług cyfrowych, takich jak publicznie dostępne strony internetowe.

Bez tej jasności ustalonej z góry osoby reagujące na incydenty są zmuszone zgadywać w czasie rzeczywistym, jak poważna jest w rzeczywistości sytuacja. Zatrzymanie linii produkcyjnej może wymagać natychmiastowego briefingu dla kadry zarządzającej i przejścia na systemy zapasowe. Zdegradowana strona internetowa może nie. Ale jeśli nikt nie uzgodnił, gdzie przebiegają te granice, zespoły albo reagują przesadnie, wyłączając systemy niepotrzebnie, albo reagują zbyt łagodnie, pozwalając, by przyczółek atakującego rozprzestrzenił się dalej, podczas gdy organizacja debatuje nad wagą sytuacji. Pointa Shafer-Page'a jest prosta: niejednoznaczność na tym etapie nie tylko spowalnia reakcję, ale aktywnie pogarsza wyniki.

To także moment, w którym organizacje powinny pomyśleć o usługach cyfrowych, od których zależą na co dzień. Awaria strony internetowej może na papierze wyglądać niewinnie, ale nieść nieproporcjonalne konsekwencje reputacyjne i finansowe w zależności od biznesu. Zmapowanie tych zależności z wyprzedzeniem, a nie podczas samego incydentu, jest tym, co odróżnia kontrolowaną reakcję od improwizowanej.

Uprawnienia do negocjacji i limity finansowe

Drugim obszarem zainteresowania w drzewie decyzyjnym są parametry negocjacji i jest to prawdopodobnie bardziej wrażliwy z dwóch. Żądania okupu wymagają jasnego łańcucha uprawnień. Kto może kontaktować się z atakującymi? Kto może autoryzować płatność i do jakiej kwoty? To nie są pytania, na które organizacja chce odpowiadać po raz pierwszy, gdy przed nią leży notatka z żądaniem okupu.

Ustalenie zdefiniowanych z góry limitów finansowych osiąga dwie rzeczy. Zapobiega decyzjom podejmowanym w panice, w których firma zgadza się zapłacić znacznie więcej, niż powinna, tylko dlatego, że kierownictwo czuje się w potrzasku. I daje negocjatorom, czy to pracownikom wewnętrznym, czy zewnętrznym konsultantom, wyraźny mandat, w ramach którego mają działać, zamiast ciągłego szukania zatwierdzenia w trakcie negocjacji, co atakujący mogą wykorzystać jako oznakę dezorganizacji.

Warto zauważyć, że nie każda organizacja decyduje się w ogóle negocjować. Niektóre podmioty podjęły decyzję, publicznie i z wyprzedzeniem, że nie zapłacą, niezależnie od żądań i gróźb. Rząd landu Berlin odmówił negocjacji z grupą ransomware Rhysida jeszcze zanim atakujący otworzyli swoją aukcję danych, stanowisko, które działa tylko dlatego, że decyzja została podjęta z wyprzedzeniem, a nie pod presją. Na drugim końcu spektrum najnowsze badania pokazują, że płatności wciąż zdarzają się częściej, niż wielu zakłada: badanie wykazało, że 34% firm w Australii i Nowej Zelandii wciąż płaci okupy ransomware, mimo rosnących dowodów, że płatność nie gwarantuje niezawodnie odzyskania danych ani nie zapobiega przyszłym atakom.

Co to oznacza dla Ciebie

Gotowość na ransomware to nie tylko zmartwienie dużych przedsiębiorstw z dedykowanymi zespołami bezpieczeństwa. Małe firmy, organizacje non-profit, szkoły i samorządy lokalne są częstymi celami właśnie dlatego, że zwykle brakuje im planu. Jeśli Twoja organizacja przetwarza wrażliwe dane, nawet podstawowa wersja drzewa decyzyjnego dotyczącego ransomware, krótki dokument wskazujący, kto decyduje o czym i przy jakim progu, może dramatycznie skrócić czas reakcji i zmniejszyć ryzyko kosztownego potknięcia.

Dla osób prywatnych wniosek jest bardziej pośredni, ale wciąż istotny. Organizacje, które dobrze reagują na ransomware, zwykle ograniczają to, ile Twoich danych osobowych zostanie ujawnionych lub wycieknie. Zrozumienie, że tego rodzaju planowanie istnieje, i pytanie, czy firmy i instytucje, na których polegasz, je mają, jest rozsądnym pytaniem do zadania jako konsument lub klient.

Praktyczne wnioski

  • Zdefiniuj z wyprzedzeniem, co liczy się jako krytyczny wpływ na integralność danych, operacje i usługi publicznie dostępne, nie czekaj na aktywny incydent, by to ustalić.
  • Ustal jasne uprawnienia co do tego, kto może negocjować z atakującymi, i ustaw twarde limity finansowe, zanim nadejdzie jakiekolwiek żądanie okupu.
  • Przejrzyj przykłady z rzeczywistości, zarówno organizacji, które odmówiły zapłaty, jak i tych, które zapłaciły, aby zrozumieć kompromisy związane z każdą ścieżką.
  • Traktuj gotowość na ransomware jako ciągłe ćwiczenie, a nie jednorazowy dokument, i wracaj do progów, gdy zmieniają się systemy i zależności Twojej organizacji.