Reakcia na incident

Čo to znamená

Reakcia na incident je vopred pripravený a odskúšaný postup, podľa ktorého firma koná pri kybernetickom útoku, úniku dát či inom bezpečnostnom incidente. Určuje, kto incident vyhlási, kto rozhoduje, ako sa obmedzí škoda, ako sa zachovajú stopy a koho treba informovať.

Typický plán má niekoľko fáz: rozpoznanie a vyhodnotenie incidentu, jeho izolovanie, napríklad odpojenie napadnutých počítačov od siete, odstránenie príčiny, obnovu systémov zo záloh a nakoniec vyhodnotenie, čo sa stalo a čo zlepšiť. Pri útoku typu ransomware je rozhodujúca rýchlosť prvých hodín.

Reakcia na incident nadväzuje na plán kontinuity podnikania, ktorý rieši, ako firma funguje počas výpadku, a na ciele obnovy RPO a RTO. Pre subjekty pod smernicou NIS2 je mať takýto postup a hlásiť závažné incidenty v krátkych lehotách zákonnou povinnosťou.

Ako to funguje v praxi

Aj malej firme odporúčame mať aspoň jednostranový postup: telefónne čísla IT dodávateľa, vedenia a poisťovne, zoznam kritických systémov, miesto uloženia záloh a pokyn, čo robiť a čo nerobiť v prvých minútach. Dokument musí byť dostupný aj offline, keď systémy nefungujú.

Ak má firma kybernetické poistenie, poistné podmienky často určujú, že incident treba okamžite nahlásiť poisťovni a využiť jej krízovú linku a odborníkov. Svojvoľné kroky, napríklad zaplatenie výkupného bez konzultácie, môžu ohroziť plnenie.

Ak incident zasiahol osobné údaje, prevádzkovateľ posúdi, či ho treba nahlásiť Úradu na ochranu osobných údajov, a to v krátkej zákonnej lehote od zistenia. Pri vysokom riziku treba informovať aj dotknuté osoby. Tieto kroky by mali byť v pláne vopred popísané.

Na čo si dať pozor

Najčastejšou chybou v prvých minútach je vypnúť napadnuté počítače alebo ich okamžite preinštalovať. Tým sa zničia stopy potrebné na zistenie rozsahu útoku a pre poisťovňu či políciu. Správne je zariadenie odpojiť od siete a nechať ho zapnuté, kým nerozhodne odborník.

Plán, ktorý nikto nikdy neskúšal, v kríze zlyhá. Stačí raz ročne prejsť modelovú situáciu, napríklad „ráno sú všetky súbory zašifrované“, a overiť, či ľudia vedia, čo robiť, a či zálohy naozaj fungujú. Takéto cvičenie často odhalí slabiny, ktoré sa dajú lacno opraviť.