Cây Quyết Định về Ransomware của Shafer-Page: Đặt Ra Giới Hạn Từ Sớm

Vì Sao Cây Quyết Định về Ransomware Quan Trọng Trước Khi Chuông Báo Động Vang Lên

Khi ransomware tấn công, những giờ đầu tiên vô cùng hỗn loạn. Hệ thống bị khóa, nhân viên không thể truy cập tệp, và ban lãnh đạo cuống cuồng tìm hiểu xem thực sự điều gì đã hỏng. Theo chuyên gia bảo mật Shafer-Page, những tổ chức phản ứng hiệu quả nhất không phải là những tổ chức có ngân sách bảo mật lớn nhất. Họ là những người đã quyết định trước, chính xác cách họ sẽ phản ứng.

Đó là ý tưởng cốt lõi đằng sau việc xây dựng một cây quyết định về ransomware: một khuôn khổ có cấu trúc, được thống nhất trước, cho các ứng phó viên biết những hành động cần thực hiện khi các điều kiện cụ thể được đáp ứng. Thay vì tranh luận về chiến lược giữa cơn khủng hoảng, các đội chỉ cần tuân theo các nhánh mà họ đã vạch ra trước. Nghe có vẻ đơn giản, nhưng hầu hết các tổ chức vẫn chưa có một cái, đó là lý do tại sao các nỗ lực ứng phó thường làm leo thang thiệt hại thay vì kiểm soát nó.

Đặt Ngưỡng Rõ Ràng cho Dữ Liệu và Hoạt Động

Trụ cột đầu tiên của một cây quyết định hiệu quả là xác định các ngưỡng trước khi sự cố xảy ra. Điều này có nghĩa là đánh giá, bằng các thuật ngữ cụ thể, điều gì được coi là một tổn thất nghiêm trọng đối với tính toàn vẹn dữ liệu, điều gì được coi là gián đoạn tính liên tục hoạt động như các quy trình sản xuất, và điều gì được coi là thiệt hại đối với các dịch vụ số quan trọng như các trang web hướng tới công chúng.

Nếu không có sự rõ ràng được thiết lập trước, các ứng phó viên sự cố sẽ phải đoán trong thời gian thực về mức độ nghiêm trọng thực sự của tình huống. Một dây chuyền sản xuất ngừng hoạt động có thể cần một cuộc họp báo cáo khẩn cấp với ban lãnh đạo và chuyển sang hệ thống dự phòng. Một trang web bị suy giảm có thể không cần. Nhưng nếu không ai đã đồng ý về vị trí của những ranh giới đó, các đội hoặc phản ứng thái quá, ngắt hệ thống không cần thiết, hoặc phản ứng thiếu, để cho chỗ đứng của kẻ tấn công lan rộng hơn trong khi tổ chức tranh luận về mức độ nghiêm trọng. Quan điểm của Shafer-Page rất thẳng thắn: sự mơ hồ ở giai đoạn này không chỉ làm chậm phản ứng, mà còn chủ động làm cho kết quả tồi tệ hơn.

Đây cũng là nơi các tổ chức nên suy nghĩ về các dịch vụ số mà họ phụ thuộc hàng ngày. Một sự cố trang web có thể trông nhỏ trên giấy tờ nhưng mang lại hậu quả lớn về danh tiếng và doanh thu tùy thuộc vào doanh nghiệp. Việc lập bản đồ các phụ thuộc này trước, thay vì trong chính sự cố, là điều phân biệt một phản ứng có kiểm soát với một phản ứng tùy hứng.

Thẩm Quyền Đàm Phán và Giới Hạn Tài Chính

Lĩnh vực trọng tâm thứ hai trong cây quyết định là các tham số đàm phán, và đây có thể được coi là lĩnh vực nhạy cảm hơn trong hai lĩnh vực. Các yêu cầu tống tiền cần một chuỗi thẩm quyền rõ ràng. Ai được phép liên hệ với kẻ tấn công? Ai có thể ủy quyền thanh toán, và đến mức bao nhiêu đô la? Đây không phải là những câu hỏi mà một tổ chức muốn trả lời lần đầu tiên trong khi một lá thư đòi tiền chuộc đang nằm trước mặt họ.

Việc đặt ra các giới hạn tài chính được xác định trước hoàn thành hai việc. Nó ngăn chặn các quyết định do hoảng loạn khi một công ty đồng ý trả nhiều hơn mức cần thiết chỉ vì ban lãnh đạo cảm thấy bị dồn vào chân tường. Và nó cho các nhà đàm phán, dù là nhân viên nội bộ hay tư vấn bên ngoài, một nhiệm vụ vững chắc để làm việc trong đó thay vì phải tìm kiếm sự phê duyệt liên tục giữa cuộc đàm phán, điều mà kẻ tấn công có thể khai thác như một dấu hiệu của sự thiếu tổ chức.

Đáng lưu ý rằng không phải mọi tổ chức đều chọn đàm phán. Một số thực thể đã đưa ra quyết định, công khai và trước, rằng họ sẽ không trả tiền bất kể yêu cầu hay đe dọa là gì. Chính quyền bang Berlin đã từ chối đàm phán với nhóm ransomware Rhysida ngay cả trước khi kẻ tấn công mở phiên đấu giá dữ liệu của họ, một lập trường chỉ có thể thực hiện được vì quyết định đã được đưa ra trước thay vì dưới áp lực. Ở đầu kia của quang phổ, nghiên cứu gần đây cho thấy việc thanh toán vẫn xảy ra thường xuyên hơn nhiều người giả định: một nghiên cứu phát hiện rằng 34% các công ty trên khắp Úc và New Zealand vẫn trả tiền theo yêu cầu của ransomware, bất chấp bằng chứng ngày càng tăng rằng việc thanh toán không đảm bảo đáng tin cậy cho việc khôi phục dữ liệu hoặc ngăn chặn việc bị nhắm mục tiêu trong tương lai.

Điều Này Có Ý Nghĩa Gì Với Bạn

Sự chuẩn bị cho ransomware không chỉ là mối quan tâm của các doanh nghiệp lớn với các đội bảo mật chuyên dụng. Các doanh nghiệp nhỏ, tổ chức phi lợi nhuận, trường học, và chính quyền địa phương đều là những mục tiêu thường xuyên chính vì họ có xu hướng thiếu một kế hoạch. Nếu tổ chức của bạn xử lý dữ liệu nhạy cảm, ngay cả một phiên bản cơ bản của cây quyết định về ransomware, một tài liệu ngắn nêu tên ai quyết định điều gì và ở ngưỡng nào, có thể rút ngắn đáng kể thời gian phản ứng và giảm khả năng xảy ra một bước sai lầm tốn kém.

Đối với cá nhân, bài học mang tính gián tiếp hơn nhưng vẫn liên quan. Các tổ chức phản ứng tốt với ransomware có xu hướng hạn chế mức độ dữ liệu cá nhân của bạn bị phơi bày hoặc rò rỉ. Hiểu rằng loại kế hoạch này tồn tại, và hỏi liệu các công ty và tổ chức mà bạn dựa vào có nó hay không, là một câu hỏi hợp lý để nêu ra với tư cách là người tiêu dùng hoặc khách hàng.

Những Điểm Cần Hành Động

• Xác định trước điều gì được coi là tác động nghiêm trọng đối với tính toàn vẹn dữ liệu, hoạt động, và các dịch vụ hướng tới công chúng, đừng chờ đến khi có sự cố đang diễn ra mới quyết định.
• Thiết lập thẩm quyền rõ ràng cho ai có thể đàm phán với kẻ tấn công và đặt ra các giới hạn tài chính vững chắc trước khi bất kỳ yêu cầu tiền chuộc nào đến.
• Xem xét các ví dụ thực tế, cả các tổ chức từ chối trả tiền và những tổ chức đã trả, để hiểu những đánh đổi liên quan đến mỗi con đường.
• Coi việc chuẩn bị cho ransomware như một bài tập liên tục, không phải một tài liệu một lần, và xem xét lại các ngưỡng khi hệ thống và phụ thuộc của tổ chức bạn thay đổi.