Реагирование на инцидент

Что это значит

Реагирование на инцидент - заранее подготовленный и опробованный порядок, по которому фирма действует при кибератаке, утечке данных или ином инциденте безопасности. Он определяет, кто объявляет инцидент, кто принимает решения, как ограничить ущерб, как сохранить следы и кого нужно уведомить.

Типичный план состоит из нескольких фаз: обнаружение и оценка инцидента, его изоляция, например отключение заражённых компьютеров от сети, устранение причины, восстановление систем из резервных копий и, наконец, разбор того, что произошло и что улучшить. При атаке ransomware решает скорость первых часов.

Реагирование на инцидент связано с планом непрерывности бизнеса, который решает, как фирма работает во время сбоя, и с целями восстановления RPO и RTO. Для субъектов под директивой NIS2 иметь такой порядок и сообщать о серьёзных инцидентах в короткие сроки - обязанность по закону.

Как это работает на практике

Даже маленькой фирме мы советуем иметь хотя бы одностраничный порядок: телефоны IT-подрядчика, руководства и страховой, список критичных систем, место хранения резервных копий и указание, что делать и чего не делать в первые минуты. Документ должен быть доступен и офлайн, когда системы не работают.

Если у фирмы есть киберстрахование, условия часто требуют немедленно сообщить об инциденте страховой и воспользоваться её кризисной линией и экспертами. Самовольные шаги, например оплата выкупа без консультации, могут поставить под угрозу выплату.

Если инцидент затронул персональные данные, оператор оценивает, нужно ли сообщить о нём в Управление по защите персональных данных, причём в короткий законный срок с момента обнаружения. При высоком риске нужно уведомить и самих субъектов данных. Эти шаги стоит заранее описать в плане.

На что обратить внимание

Самая частая ошибка в первые минуты - выключить заражённые компьютеры или сразу их переустановить. Так уничтожаются следы, нужные для выяснения масштаба атаки, а также для страховой или полиции. Правильно отключить устройство от сети и оставить включённым, пока не решит специалист.

План, который никто никогда не проверял, в кризис не сработает. Достаточно раз в год пройти модельную ситуацию, например «утром все файлы зашифрованы», и проверить, знают ли люди, что делать, и действительно ли работают резервные копии. Такое упражнение часто выявляет слабые места, которые дёшево исправить.