Реагування на інцидент

Що це означає

Реагування на інцидент - заздалегідь підготовлений і випробуваний порядок, за яким фірма діє під час кібератаки, витоку даних чи іншого інциденту безпеки. Він визначає, хто оголошує інцидент, хто ухвалює рішення, як обмежити шкоду, як зберегти сліди і кого треба повідомити.

Типовий план має кілька фаз: виявлення й оцінку інциденту, його ізоляцію, наприклад від’єднання заражених комп’ютерів від мережі, усунення причини, відновлення систем із резервних копій і, нарешті, розбір того, що сталося і що покращити. Під час атаки ransomware вирішує швидкість перших годин.

Реагування на інцидент пов’язане з планом безперервності бізнесу, який вирішує, як фірма працює під час збою, і з цілями відновлення RPO і RTO. Для суб’єктів під директивою NIS2 мати такий порядок і повідомляти про серйозні інциденти в короткі строки - обов’язок за законом.

Як це працює на практиці

Навіть малій фірмі ми радимо мати хоча б односторінковий порядок: телефони IT-підрядника, керівництва й страховика, список критичних систем, місце зберігання резервних копій і вказівку, що робити й чого не робити в перші хвилини. Документ має бути доступний і офлайн, коли системи не працюють.

Якщо фірма має кіберстрахування, умови часто вимагають негайно повідомити страховика про інцидент і скористатися його кризовою лінією та експертами. Самовільні кроки, наприклад сплата викупу без консультації, можуть поставити під загрозу виплату.

Якщо інцидент зачепив персональні дані, контролер оцінює, чи треба повідомити про нього Управління із захисту персональних даних, причому в короткий законний строк від виявлення. За високого ризику треба повідомити й самих суб’єктів даних. Ці кроки варто заздалегідь описати в плані.

На що звернути увагу

Найчастіша помилка в перші хвилини - вимкнути заражені комп’ютери чи одразу їх перевстановити. Так знищуються сліди, потрібні для з’ясування масштабу атаки, а також для страховика чи поліції. Правильно від’єднати пристрій від мережі й залишити ввімкненим, доки не вирішить фахівець.

План, який ніхто ніколи не перевіряв, у кризі не спрацює. Досить раз на рік пройти модельну ситуацію, наприклад «уранці всі файли зашифровано», і перевірити, чи знають люди, що робити, і чи справді працюють резервні копії. Така вправа часто виявляє слабкі місця, які дешево виправити.