Чому дерево рішень щодо програм-вимагачів важливе ще до того, як пролунає тривога

Коли трапляється атака програм-вимагачів, перші години минають у хаосі. Системи блокуються, працівники не можуть отримати доступ до файлів, а керівництво намагається з'ясувати, що насправді зламано. За словами експерта з безпеки Shafer-Page, організації, які реагують найефективніше, — це не ті, що мають найбільші бюджети на безпеку. Це ті, які вже заздалегідь вирішили, як саме вони реагуватимуть.

У цьому полягає основна ідея побудови дерева рішень щодо програм-вимагачів: структурована, заздалегідь узгоджена система, яка підказує тим, хто реагує, які дії вживати після досягнення конкретних умов. Замість того щоб обговорювати стратегію посеред кризи, команди просто дотримуються гілок, які вони визначили заздалегідь. Звучить просто, але більшість організацій досі не мають такого дерева, і саме тому зусилля з реагування так часто посилюють шкоду, а не стримують її.

Встановлення чітких порогових значень для даних та операцій

Перший стовп ефективного дерева рішень — це визначення порогових значень до того, як станеться інцидент. Це означає оцінити в конкретних термінах, що вважається серйозним ударом по цілісності даних, що вважається порушенням операційної безперервності, наприклад виробничих процесів, і що вважається шкодою для критичних цифрових сервісів, таких як публічні вебсайти.

Без цієї ясності, встановленої заздалегідь, фахівці з реагування на інциденти змушені вгадувати в реальному часі, наскільки серйозною насправді є ситуація. Виробнича лінія, що вийшла з ладу, може вимагати негайного брифінгу для керівництва та переходу на резервні системи. Погіршення роботи вебсайту — можливо, ні. Але якщо ніхто не домовився, де проходять ці межі, команди або надмірно реагують, вимикаючи системи без потреби, або недостатньо реагують, дозволяючи зловмиснику закріпитися ще глибше, поки організація сперечається про серйозність. Думка Shafer-Page прямолінійна: невизначеність на цьому етапі не просто уповільнює реагування, вона активно погіршує результати.

Саме тут організаціям також варто подумати про цифрові сервіси, від яких вони залежать щодня. Збій вебсайту може виглядати незначним на папері, але мати непропорційно великі репутаційні та фінансові наслідки залежно від бізнесу. Визначення цих залежностей заздалегідь, а не під час самого інциденту, — це те, що відрізняє контрольоване реагування від імпровізованого.

Повноваження щодо переговорів та фінансові ліміти

Друга ключова сфера в дереві рішень — це параметри переговорів, і це, мабуть, чутливіша з двох. Вимоги вимагання потребують чіткого ланцюга повноважень. Хто має право взаємодіяти зі зловмисниками? Хто може санкціонувати платіж і до якої суми? Це не ті питання, на які організація хотіла б відповідати вперше, коли перед нею лежить записка з вимогою викупу.

Встановлення заздалегідь визначених фінансових лімітів досягає двох цілей. Воно запобігає рішенням, продиктованим панікою, коли компанія погоджується заплатити значно більше, ніж слід, просто тому що керівництво відчуває себе загнаним у кут. І воно дає переговорникам, чи то внутрішнім співробітникам, чи зовнішнім консультантам, чіткий мандат, у межах якого можна працювати, замість необхідності постійно шукати схвалення посеред переговорів, що зловмисники можуть використати як ознаку дезорганізації.

Варто зазначити, що не кожна організація взагалі вирішує вести переговори. Деякі суб'єкти ухвалили рішення, публічно й заздалегідь, що не платитимуть незалежно від того, що вимагають чи чим погрожують. Уряд Берліна відмовився вести переговори з угрупованням програм-вимагачів Rhysida ще до того, як зловмисники відкрили аукціон даних, і така позиція працює лише тому, що рішення було ухвалено заздалегідь, а не під тиском. На іншому кінці спектра нещодавнє дослідження показує, що платежі відбуваються частіше, ніж багато хто припускає: дослідження виявило, що 34% компаній в Австралії та Новій Зеландії досі платять за вимогами програм-вимагачів, попри зростання доказів того, що платіж не гарантує надійного відновлення даних і не запобігає майбутнім атакам.

Що це означає для вас

Готовність до програм-вимагачів — це не лише турбота великих підприємств із виділеними командами безпеки. Малі підприємства, неприбуткові організації, школи та місцеві органи влади — усі вони є частими цілями саме тому, що зазвичай не мають плану. Якщо ваша організація обробляє чутливі дані, навіть базова версія дерева рішень щодо програм-вимагачів — короткий документ, який визначає, хто що вирішує і за якого порогового значення, — може різко скоротити час реагування та зменшити ймовірність дорогої помилки.

Для окремих людей висновок більш непрямий, але все ще актуальний. Організації, які добре реагують на програми-вимагачі, зазвичай обмежують обсяг ваших персональних даних, які опиняються під загрозою розкриття чи витоку. Розуміння того, що таке планування існує, і питання про те, чи мають його компанії та установи, на які ви покладаєтеся, — це цілком слушне питання як для споживача чи клієнта.

Практичні висновки

  • Визначте заздалегідь, що вважається критичним впливом на цілісність даних, операції та публічні сервіси, не чекайте на активний інцидент, щоб вирішити це.
  • Встановіть чіткі повноваження щодо того, хто може вести переговори зі зловмисниками, і визначте тверді фінансові ліміти до того, як надійде будь-яка вимога викупу.
  • Вивчайте реальні приклади — як організацій, що відмовилися платити, так і тих, що заплатили, — щоб зрозуміти компроміси, пов'язані з кожним шляхом.
  • Ставтеся до готовності до програм-вимагачів як до постійної роботи, а не одноразового документа, і переглядайте порогові значення в міру зміни систем та залежностей вашої організації.