Arborele decizional privind ransomware al lui Shafer-Page: Stabilirea limitelor din timp

De ce un arbore decizional privind ransomware contează înainte de sunarea alarmei

Când ransomware-ul lovește, primele ore sunt haotice. Sistemele se blochează, angajații nu pot accesa fișierele, iar executivii se străduiesc să înțeleagă ce anume nu funcționează. Potrivit expertului în securitate Shafer-Page, organizațiile care răspund cel mai eficient nu sunt cele cu cele mai mari bugete de securitate. Sunt cele care au decis deja, în avans, exact cum vor răspunde.

Aceasta este ideea centrală din spatele construirii unui arbore decizional privind ransomware: un cadru structurat, pre-agreat, care le spune respondenților ce acțiuni să întreprindă odată ce sunt îndeplinite anumite condiții. În loc să dezbată strategia în mijlocul crizei, echipele urmează pur și simplu ramurile pe care le-au cartografiat din timp. Sună simplu, dar majoritatea organizațiilor încă nu au unul, motiv pentru care eforturile de răspuns escaladează atât de des daunele în loc să le limiteze.

Stabilirea unor praguri clare pentru date și operațiuni

Primul pilon al unui arbore decizional eficient este definirea pragurilor înainte de producerea unui incident. Aceasta înseamnă evaluarea, în termeni concreți, a ceea ce constituie o lovitură serioasă adusă integrității datelor, a ceea ce constituie o întrerupere a continuității operaționale, cum ar fi procesele de producție, și a ceea ce constituie daune aduse serviciilor digitale critice, precum site-urile web cu vizibilitate publică.

Fără această claritate stabilită în prealabil, respondenții la incidente sunt lăsați să ghicească în timp real cât de severă este de fapt situația. O linie de producție care se oprește ar putea justifica un briefing executiv imediat și trecerea la sisteme de rezervă. Un site web degradat ar putea să nu o justifice. Dar dacă nimeni nu a căzut de acord unde se situează aceste limite, echipele fie reacționează excesiv, scoțând sistemele offline inutil, fie reacționează insuficient, lăsând poziția atacatorului să se extindă mai departe în timp ce organizația dezbate severitatea. Punctul de vedere al lui Shafer-Page este simplu: ambiguitatea în această etapă nu doar încetinește răspunsul, ci înrăutățește în mod activ rezultatele.

Acesta este și momentul în care organizațiile ar trebui să se gândească la serviciile digitale de care depind zilnic. O întrerupere a unui site web poate părea minoră pe hârtie, dar poate avea consecințe reputaționale și financiare disproporționat de mari, în funcție de activitate. Cartografierea acestor dependențe în avans, mai degrabă decât în timpul incidentului în sine, este ceea ce separă un răspuns controlat de unul improvizat.

Autoritatea de negociere și limitele financiare

Al doilea domeniu de interes din arborele decizional îl reprezintă parametrii de negociere și este, fără îndoială, cel mai sensibil dintre cele două. Cererile de extorcare necesită un lanț clar de autoritate. Cine are voie să comunice cu atacatorii? Cine poate autoriza o plată și până la ce sumă în dolari? Acestea nu sunt întrebări la care o organizație vrea să răspundă pentru prima dată în timp ce o notă de răscumpărare stă în fața ei.

Stabilirea unor limite financiare predefinite realizează două lucruri. Previne deciziile dictate de panică, în care o companie acceptă să plătească mult mai mult decât ar trebui, pur și simplu pentru că conducerea se simte acornerată. Și le oferă negociatorilor, fie personal intern sau consultanți externi, un mandat ferm în care să lucreze, în loc să fie nevoiți să caute aprobare constantă în timpul negocierii, ceea ce atacatorii pot exploata ca semn de dezorganizare.

Merită menționat că nu fiecare organizație alege să negocieze deloc. Unele entități au luat decizia, public și în avans, că nu vor plăti indiferent de ce se cere sau se amenință. Guvernul landului Berlin a refuzat să negocieze cu grupul de ransomware Rhysida chiar înainte ca atacatorii să deschidă licitația de date, o poziție care funcționează doar pentru că decizia a fost luată din timp, nu sub presiune. La celălalt capăt al spectrului, cercetările recente arată că plata se face încă mai des decât presupun mulți: un studiu a constatat că 34% dintre firmele din Australia și Noua Zeelandă plătesc încă cererile de răscumpărare, în ciuda dovezilor tot mai numeroase că plata nu garantează în mod fiabil recuperarea datelor sau prevenirea unei țintiri viitoare.

Ce înseamnă asta pentru tine

Pregătirea pentru ransomware nu este doar o preocupare pentru marile întreprinderi cu echipe de securitate dedicate. Întreprinderile mici, organizațiile non-profit, școlile și administrațiile locale sunt toate ținte frecvente, tocmai pentru că tind să nu aibă un plan. Dacă organizația ta gestionează date sensibile, chiar și o versiune de bază a unui arbore decizional privind ransomware, un document scurt care numește cine decide ce și la ce prag, poate scurta dramatic timpul de răspuns și reduce șansele unei greșeli costisitoare.

Pentru indivizi, concluzia este mai indirectă, dar totuși relevantă. Organizațiile care răspund bine la ransomware tind să limiteze cât de multe dintre datele tale personale ajung expuse sau scurse. Înțelegerea faptului că acest tip de planificare există și întrebarea dacă companiile și instituțiile pe care te bazezi o au este o întrebare rezonabilă de pus în calitate de consumator sau client.

Concluzii acționabile

• Definește în avans ce constituie un impact critic asupra integrității datelor, operațiunilor și serviciilor cu vizibilitate publică, nu aștepta un incident activ pentru a decide.
• Stabilește o autoritate clară pentru cine poate negocia cu atacatorii și setează limite financiare ferme înainte de a sosi orice cerere de răscumpărare.
• Examinează exemple din lumea reală, atât organizații care au refuzat să plătească, cât și cele care au plătit, pentru a înțelege compromisurile implicate în fiecare cale.
• Tratează pregătirea pentru ransomware ca un exercițiu continuu, nu ca un document unic, și revizuiește pragurile pe măsură ce sistemele și dependențele organizației tale se schimbă.