Wydaje nam się, że doszło do naruszenia. Co robimy w pierwszych 24 godzinach?

Najpierw: zachowaj spokój i nie niszcz dowodów

Najczęstszym i najbardziej szkodliwym odruchem w pierwszej godzinie jest chęć, żeby problem zniknął. Ktoś formatuje laptopa. Ktoś usuwa podejrzane maile. Ktoś restartuje serwer, „żeby go wyczyścić". Każda z tych rzeczy wydaje się postępem, a każda może zniszczyć dowody potrzebne do zrozumienia, co się stało, spełnienia obowiązków prawnych i wsparcia roszczenia ubezpieczeniowego.

Dlatego pierwsza zasada jest najprostsza do zapamiętania: zostaw rzeczy tak, jak są. Nie czyść, nie reinstaluj i nie przywracaj do ustawień fabrycznych żadnej maszyny, którą uważasz za dotkniętą. Nie usuwaj logów, maili ani plików. Nie płać żadnego okupu ani nie odpowiadaj samodzielnie na wiadomość z żądaniem okupu. Jeśli system jest przejęty, jego obecny stan jest zapisem przestępstwa i ten zapis ma dla ciebie wartość.

Jest jeden niuans, który warto znać. Część dowodów istnieje wyłącznie w pamięci maszyny i ginie po jej wyłączeniu, a inne dowody przetrwają tylko wtedy, gdy maszyna zostanie odcięta od sieci. Bezpiecznym domyślnym działaniem dla nietechnicznego lidera jest odizolowanie maszyny od sieci (opisane niżej), ale pozostawienie jej włączonej, i pozwolenie zespołowi reagowania zdecydować, co zabezpieczyć, zanim cokolwiek zostanie wyłączone. W razie wątpliwości izoluj i czekaj na eksperta, zamiast wyłączać sprzęt.

Zapisuj, co wiesz i kiedy się o tym dowiedziałeś. Prosta, bieżąca oś czasu, we wspólnym dokumencie albo nawet na papierze, kto co zauważył i o której godzinie, to jedna z najbardziej użytecznych rzeczy, jakie możesz stworzyć. Zakotwicza zegary prawne, utrzymuje spójność zespołu i staje się szkieletem twojego późniejszego raportu.

Powstrzymaj szkody, nie niszcząc śladów

Powstrzymanie oznacza zatrzymanie krwawienia przy jednoczesnym zachowaniu miejsca zdarzenia. Oba cele mogą współistnieć i kolejność ma znaczenie.

Najbardziej skutecznym wczesnym krokiem powstrzymującym jest zwykle ten najmniej efektowny: odłączenie dotkniętych systemów od sieci. Wyciągnij kabel sieciowy albo wyłącz połączenie bezprzewodowe na maszynach, które uważasz za zaangażowane. To odcina dostęp atakującemu i zatrzymuje rozprzestrzenianie malware, jednocześnie pozostawiając samą maszynę nietkniętą do zbadania. To cyfrowy odpowiednik zamknięcia drzwi, a nie spalenia pokoju.

Następnie załóż, że dane uwierzytelniające są przejęte, i działaj zgodnie z tym założeniem. Wymuś reset haseł dla dotkniętych kont, a tam, gdzie możesz, dla kont o wysokich uprawnieniach w całej firmie. Co kluczowe, unieważnij też aktywne sesje i tokeny. Sam reset hasła nie zawsze wylogowuje atakującego, bo wiele systemów utrzymuje kogoś zalogowanego, dopóki jego sesja nie wygaśnie. Unieważnienie sesji oraz włączenie albo wymuszenie uwierzytelniania wieloskładnikowego tam, gdzie go jeszcze nie ma, zamyka tę lukę.

Jeśli korzystasz z usług chmurowych i single sign-on, twój kontakt IT albo bezpieczeństwa często może powstrzymać dużą część problemu z jednego miejsca, wyłączając przejęte konto, unieważniając jego sesje i odcinając podłączone aplikacje. To jeden z powodów, dla których wiedza, kto trzyma klucze do twoich kluczowych systemów, ma tak duże znaczenie w pierwszej godzinie.

Powstrzymanie to decyzja polegająca na ocenie, jak szeroko zarzucić sieć, i podejmujesz ją razem z zespołem reagowania. Odruch, żeby izolować szeroko, to zwykle bezpieczniejszy błąd w pierwszych godzinach.

Zadzwoń do właściwych osób, we właściwej kolejności

Nie robisz tego sam, a kolejność, w jakiej się kontaktujesz, ma znaczenie.

Twój zespół reagowania na incydenty. To zespół, wewnętrzny albo zewnętrzny, który faktycznie prowadzi dochodzenie i naprawę. Jeśli masz wewnętrzną funkcję bezpieczeństwa albo firmę reagowania na incydenty na stałym kontrakcie, uruchom ich teraz. Jeśli nie masz, twój ubezpieczyciel cybernetyczny albo wyspecjalizowana firma zwykle może szybko zmobilizować zespół. Nie próbuj sam prowadzić szczegółowego dochodzenia śledczego.

Ubezpieczyciel cybernetyczny, zanim zaczniesz działać. To zasługuje na podkreślenie, bo tak często się o tym zapomina. Wiele polis cyber wymaga niezwłocznego powiadomienia ubezpieczyciela i korzystania z jego panelu zatwierdzonych podmiotów reagujących, prawników i negocjatorów. Zaangażowanie własnego dostawcy w pierwszej kolejności albo podjęcie kroków naprawczych, na które polisa nie pozwala, może obniżyć albo nawet unieważnić ochronę dokładnie w momencie, gdy jej najbardziej potrzebujesz. Przeczytaj klauzulę incydentu w swojej polisie, albo poproś kogoś, żeby ci ją przeczytał, zanim wydasz pieniądze albo kogoś zaangażujesz. Infolinia ubezpieczyciela do zgłaszania naruszeń jest często najszybszym pojedynczym telefonem, jaki możesz wykonać, bo jednym ruchem angażuje zespół reagowania i prawników.

Doradca prawny. Naruszenie to zdarzenie prawne w takim samym stopniu jak techniczne. Zaangażuj prawnika, wewnętrznego albo zewnętrznego, wcześnie. Prowadzi decyzje o powiadomieniach, pomaga chronić wrażliwą analizę tajemnicą adwokacką tam, gdzie ma to zastosowanie, i powstrzymuje cię przed pisemnymi oświadczeniami, które później zaszkodzą. Jeśli twój ubezpieczyciel ma prawnika w panelu, to często właściwy punkt startowy.

Twój wewnętrzny zespół główny, na zasadzie need-to-know. Zbierz małą grupę: lidera (ciebie albo osobę delegowaną), starszego przedstawiciela IT albo bezpieczeństwa, prawnika i osobę, która zajmie się komunikacją. Na początku trzymaj krąg wąsko. Szerokie wewnętrzne komunikaty w pierwszych godzinach zwykle tworzą panikę i wycieki, nie dodając realnych zdolności.

Uwaga o kanałach: jeśli podejrzewasz, że twoje systemy mailowe albo czatowe są przejęte, nie koordynuj reakcji wewnątrz nich. Przejdź na rozmowy telefoniczne albo osobny, czysty kanał, żebyście nie omawiali strategii tam, gdzie intruz może to czytać.

Zrozum zegary powiadomień

To miejsce, gdzie liderzy najbardziej potrzebują dokładnej informacji, bo terminy są realne i zaczynają biec, zanim masz wszystkie fakty.

RODO, dla danych osobowych. Jeśli naruszenie dotyczy danych osobowych, ogólne rozporządzenie o ochronie danych ustanawia najszerzej stosowany zegar. Na podstawie Artykułu 33, jeśli naruszenie ochrony danych osobowych może powodować ryzyko dla praw i wolności ludzi, administrator musi powiadomić właściwy organ nadzorczy bez zbędnej zwłoki, a jeśli to możliwe, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. „Stwierdzenie" oznacza posiadanie rozsądnego stopnia pewności, że doszło do naruszenia, a nie moment, gdy znasz każdy szczegół. Rozporządzenie wprost pozwala na powiadamianie etapami, w miarę jak dowiadujesz się więcej, a jeśli zgłosisz po 72 godzinach, musisz podać powody opóźnienia. Jest wąski wyjątek: powiadomienie nie jest wymagane, jeśli naruszenie raczej nie spowoduje ryzyka dla osób, co jest oceną do podjęcia z prawnikiem i do udokumentowania.

Osobno, na podstawie Artykułu 34, jeśli naruszenie może spowodować wysokie ryzyko dla osób, musisz też poinformować o nim same dotknięte osoby, jasnym i prostym językiem oraz bez zbędnej zwłoki. To wyższa poprzeczka niż powiadomienie regulatora, skierowana do osób, a nie do organu, i nie ma sztywno określonej liczby godzin.

Istnieją przepisy sektorowe i inne, które mogą być ostrzejsze. RODO to nie jedyny zegar. W zależności od sektora i kraju mogą mieć zastosowanie inne reżimy z własnymi, czasem krótszymi, terminami. Na przykład unijna dyrektywa NIS2, która obejmuje wiele średnich i dużych organizacji w sektorach uznanych za kluczowe lub ważne, wymaga wczesnego ostrzeżenia do właściwego organu albo CSIRT w ciągu 24 godzin od stwierdzenia istotnego incydentu, pełniejszego powiadomienia w ciągu 72 godzin oraz raportu końcowego w ciągu jednego miesiąca. Firmy z sektora finansowego, telekomunikacyjnego i inne mają dodatkowe obowiązki. Praktyczny wniosek dla lidera jest taki, żeby wcześnie zapytać prawnika, jakie reżimy go dotyczą, bo tempo wyznacza najostrzejszy z obowiązujących terminów.

Wniosek nie polega na zapamiętaniu numerów artykułów. Polega na założeniu, że zegar już tyka, na zapisaniu momentu, w którym się dowiedziałeś, i na włączeniu doradcy prawnego do decyzji o powiadomieniach od pierwszych godzin, a nie od drugiego dnia.

Kontroluj komunikację

Zła komunikacja może wyrządzić trwalsze szkody niż samo naruszenie. Dyscyplina polega tu na powściągliwości.

Wyznacz jednego rzecznika i kieruj przez niego wszystko. Pracownicy, klienci, dziennikarze i partnerzy powinni trafiać do jednego, przygotowanego punktu kontaktowego. Powiedz zespołowi, jasno i wcześnie, żeby nie pisał o tym publicznie, nie spekulował i przekazywał wszystkie pytania z zewnątrz do tej osoby.

Nie mów nic publicznie, dopóki nie masz wystarczająco zweryfikowanych faktów, żeby być dokładnym, a nawet wtedy zachowaj umiar. Wczesne publiczne oświadczenia, które później okazują się błędne, niszczą zaufanie znacznie bardziej niż nieco późniejsze, ale poprawne. Unikaj spekulacji na piśmie gdziekolwiek, w tym na wewnętrznym czacie, bo domysły zapisane w pierwszych godzinach stają się później cytatami, zrzutami ekranu i dokumentami podlegającymi ujawnieniu.

Jednocześnie nie milcz wobec osób, które naprawdę muszą wiedzieć. Zrób krótką, rzeczową aktualizację wewnętrzną dla swojego głównego zespołu, żeby nie działał na plotkach, i przygotuj razem z prawnikiem komunikaty do klientów i regulatora, które możesz musieć wysłać, gdy obraz sytuacji się wyjaśni. Oświadczenia podtrzymujące typu „badamy problem bezpieczeństwa i będziemy informować" są dużo lepsze niż milczenie albo improwizacja.

Decyzje, które lider podejmuje osobiście

Większość pierwszego dnia można delegować specjalistom. Garstki decyzji nie da się delegować, bo niosą ciężar prawny, finansowy i reputacyjny, który spoczywa na tobie.

• Ogłoszenie incydentu. Ty decydujesz, kiedy „coś wygląda nie tak" zamienia się w formalny incydent, który uruchamia reakcję, budżet i zegary. Pomylenie się w stronę wcześniejszego ogłoszenia jest zwykle bezpieczniejszym błędem.
• Autoryzacja wydatków i angażowanie pomocy zewnętrznej. Zespoły reagowania, prawnicy i negocjatorzy kosztują, a ty to autoryzujesz, najlepiej w granicach, jakie wyznacza twoja polisa ubezpieczeniowa.
• Zatwierdzanie każdej komunikacji zewnętrznej. Żadne oświadczenie nie trafia do klientów, opinii publicznej ani prasy bez twojej akceptacji, wypracowanej razem z prawnikiem i komunikacją.
• Decyzje o powiadomieniach. To, czy, kiedy i jak powiadomić regulatorów, dotknięte osoby, partnerów i organy ścigania, to ostatecznie decyzja lidera podjęta na podstawie porady prawnej. Te wybory mają terminy, więc nie mogą się rozjeżdżać.
• Czy angażować organy ścigania. Przy poważnych incydentach, zwłaszcza wymuszeniach albo podejrzeniu przestępczego włamania, decyzja o kontakcie z policją albo krajowym organem ds. cyberbezpieczeństwa należy do ciebie, znów razem z prawnikiem.

Nie musisz wiedzieć, jak zadziałał atak, żeby dobrze podejmować te decyzje. Potrzebujesz faktów, które dają ci zespoły reagowania, porady, jakich udzielają prawnicy, i opanowania, żeby zdecydować.

Jak wygląda dobre przygotowanie

Firmy, które przechodzą przez pierwsze 24 godziny spokojnie, prawie zawsze mają jedną wspólną cechę: zdecydowały o większości tego wcześniej. Miały plan reagowania na incydenty, który wymieniał zespół reagowania, infolinię ubezpieczyciela, prawnika i rzecznika, więc pierwsza godzina polegała na wykonywaniu telefonów, a nie na wymyślaniu procesu pod presją. Znały swoje obowiązki dotyczące powiadomień, zanim naruszenie zmusiło je do nauczenia się tego w pośpiechu. Ustaliły, kto może autoryzować wydatki i kto będzie mówił. I przećwiczyły to co najmniej raz, więc kroki były znajome, a nie obce.

Jeśli to masz, ten dzień jest trudny, ale możliwy do przeprowadzenia. Jeśli nie masz, najbardziej wartościową rzeczą, jaką możesz zrobić, gdy opadnie kurz, jest zbudowanie tego, żeby kolejny taki telefon zastał cię gotowym. Najlepszy moment na zaplanowanie reakcji na naruszenie jest przed tym, zanim się wydarzy, a drugi najlepszy to tydzień później, dopóki wnioski są jeszcze świeże.

Źródła

• Art. 33 RODO, Zgłaszanie naruszenia ochrony danych osobowych organowi nadzorczemu · https://gdpr-info.eu/art-33-gdpr/ (zegar 72 godzin, „stwierdzenie naruszenia", powiadamianie etapami, powody opóźnienia)
• Art. 34 RODO, Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych · https://gdpr-info.eu/art-34-gdpr/ (próg wysokiego ryzyka i obowiązek powiadomienia dotkniętych osób bez zbędnej zwłoki)
• Wytyczne EDPB 9/2022 dotyczące zgłaszania naruszeń ochrony danych osobowych na podstawie RODO, wersja 2.0 · https://www.edpb.europa.eu/system/files/2023-04/edpb_guidelines_202209_personal_data_breach_notification_v2.0_en.pdf (znaczenie „stwierdzenia naruszenia", ocena ryzyka, powiadamianie etapami)
• Art. 23, Dyrektywa NIS2, Obowiązki raportowania · https://www.nis-2-directive.com/NIS_2_Directive_Article_23.html (wczesne ostrzeżenie w ciągu 24 godzin, powiadomienie w ciągu 72 godzin, raport końcowy w ciągu jednego miesiąca dla istotnych incydentów)