Zakaz płacenia okupu za ransomware w Wielkiej Brytanii: co organizacje CNI muszą teraz zrobić

Zakaz płacenia cyberprzestępcom coraz bliżej wejścia w życie

Przez lata negocjacje dotyczące ransomware w Wielkiej Brytanii przebiegały cicho, za zamkniętymi drzwiami, a organizacje ważyły koszt okupu przeciwko kosztom przestoju, utraty danych lub publicznego ujawnienia. Ta kalkulacja wkrótce się zmieni. Rząd Wielkiej Brytanii od pewnego czasu forsuje propozycje ukierunkowanego zakazu płacenia okupu za ransomware, który zabraniałby podmiotom sektora publicznego, w tym samorządom lokalnym, oraz właścicielom i operatorom Krytycznej Infrastruktury Narodowej (CNI) płacenia okupów cyberprzestępcom w ogóle.

Zakaz miałby zastosowanie szeroko w całym sektorze publicznym oraz w 13 sektorach sklasyfikowanych jako CNI, do których należą m.in. ochrona zdrowia, energetyka, finanse, transport, łączność i obronność. Dla organizacji spoza tego zakresu obraz jest inny, ale wciąż godny uwagi: prywatne przedsiębiorstwa rozważające zapłatę okupu byłyby zobowiązane do powiadomienia rządu przed dokonaniem płatności, co dałoby władzom wgląd w problem, który historycznie był niedostatecznie raportowany.

To nie jest ćwiczenie hipotetyczne. Stanowi to jedną z najistotniejszych zmian w brytyjskiej polityce cyberbezpieczeństwa od lat i wywiera realną presję na podmioty publiczne i operatorów infrastruktury, by przemyśleli na nowo, jak przygotowują się na incydenty ransomware i jak się z nich podnoszą, a nie tylko jak reagują na żądania, gdy atak już nastąpił.

Dlaczego jest to fundamentalnie kwestia prywatności i ochrony danych

Zakazy płacenia okupu są często przedstawiane wyłącznie jako polityka zwalczania przestępczości, z logiką, że odcięcie płatności usuwa finansową zachętę dla atakujących do celowania w brytyjskie instytucje. Ale pod tym uzasadnieniem kryje się trudniejsze pytanie o prywatność: co dzieje się z danymi obywateli i pacjentów, gdy możliwość zapłaty zostaje usunięta?

Gdy szpital, samorząd lub operator infrastruktury zostaje zaatakowany ransomware i odmawia (lub jest teraz prawnie zobowiązany do odmowy) zapłaty, atakujący często grożą wyciekiem skradzionych danych. Dane te mogą obejmować dokumentację medyczną, informacje o świadczeniach, akta szkolne lub dane osobowe związane z usługami podstawowymi. Gdy te dane zostaną wykradzione, żadna zmiana polityki nie cofnie ich ujawnienia. Zakaz płacenia nie zmniejsza ilości danych osobowych, które przestępcy kradną przed szyfrowaniem; usuwa jedynie jedną możliwą drogę do zapobieżenia ich ujawnieniu.

Tu właśnie zakaz styka się bezpośrednio z obowiązkami w zakresie ochrony danych. Podmioty sektora publicznego i operatorzy CNI mają już obowiązki dotyczące zgłaszania naruszeń i ochrony danych osobowych. Zakaz płacenia podnosi stawkę na wstępie: skoro zapłata nie jest już opcją pozwalającą pozbyć się groźby wycieku, organizacje potrzebują szczelnych zdolności zapobiegania, wykrywania i odtwarzania, aby nigdy nie dotrzeć do tego punktu. W efekcie polityka przenosi ciężar z negocjacji kryzysowych w kierunku proaktywnej odporności, co jest dokładnie tym, na czym ochrona prywatności powinna była się skupiać od początku.

Co podmioty sektora publicznego i organizacje CNI powinny zrobić przed wejściem prawa w życie

Organizacje objęte zakresem nie powinny czekać na sfinalizowanie legislacji, zanim zaczną działać. Kilka praktycznych kroków warto teraz nadać priorytet:

• Testuj procesy tworzenia kopii zapasowych i odtwarzania w realistycznych warunkach. Zakaz płacenia działa tylko wtedy, gdy odtworzenie bez zapłaty jest rzeczywiście wykonalne. Kopie zapasowe muszą być odizolowane od sieci podstawowych, regularnie testowane i wystarczająco szybkie, by przywrócić krytyczne usługi w akceptowalnych ramach czasowych.
• Zmapuj przepływy danych i sklasyfikuj wrażliwe rekordy. Dokładna wiedza o tym, jakie dane osobowe lub wrażliwe znajdują się gdzie i jak są chronione, jest niezbędna zarówno do reagowania na naruszenia, jak i do zgodności regulacyjnej po wejściu zakazu w życie.
• Zaktualizuj plany reagowania na incydenty, aby odzwierciedlały rzeczywistość bez płacenia. Playbooki napisane wokół założenia, że płatność pozostaje opcją, muszą zostać przepisane wokół powstrzymywania, komunikacji i odtwarzania bez możliwości okupu jako odwodu.
• Przejrzyj dostęp dostawców i stron trzecich. Wiele incydentów ransomware ma źródło w dostawcach lub platformach łańcucha dostaw, a nie w atakach bezpośrednich. Odmowa szwajcarskiego producenta Stadler zapłaty okupu po tym, jak atakujący skompromitowali dane techniczne przez platformę dostawcy, jest użytecznym przykładem z życia, jak ekspozycja strony trzeciej może wywołać poważny incydent, nawet gdy systemy samej organizacji są bezpieczne.
• Wcześnie zaangażuj dostawców ubezpieczeń cybernetycznych. Polisy zakładające, że zapłata okupu była objętą opcją odzyskiwania, będą wymagały ponownego przeanalizowania.

Co to oznacza dla Ciebie

Jeśli korzystasz z usług publicznych, czy to NHS, usług samorządu lokalnego, czy mediów sklasyfikowanych jako CNI, ta zmiana polityki wpływa na to, jak Twoje dane są chronione podczas ataku, a nie tylko na to, czy organizacja płaci przestępcom. Zakaz płacenia nie gwarantuje, że Twoje dane nie zostaną skradzione, ale popycha podmioty publiczne w kierunku silniejszej prewencji i szybszego, bardziej przejrzystego odtwarzania, ponieważ cicha zapłata, by problem zniknął, nie jest już na stole. Spodziewaj się większego publicznego ujawniania incydentów dotykających te sektory, gdy wymogi raportowania zaostrzają się wraz z zakazem.

Najważniejsze wnioski

Brytyjski zakaz płacenia okupu za ransomware oznacza świadome odejście od traktowania zapłaty okupu jako akceptowalnej ostateczności dla instytucji publicznych i infrastruktury krytycznej. Dla organizacji objętych zakresem priorytetem jest teraz odporność: przetestowane kopie zapasowe, zmapowane zasoby danych, zaktualizowane plany reagowania na incydenty i poddane analizie relacje z dostawcami. Dla wszystkich pozostałych zakaz jest sygnałem, że przejrzystość i rozliczalność wokół incydentów ransomware dotykających usług podstawowych wkrótce wzrosną. Śledzenie, jak Twój samorząd, świadczeniodawca opieki zdrowotnej lub zakład użyteczności publicznej radzi sobie z tymi wymogami, jest rozsądnym i wartościowym krokiem, gdy legislacja zmierza ku staniu się prawem.