Fidye yazılımı notu bir Cumartesi sabahı saat 2:14'te düştü. Şirkette herhangi biri onu okuduğunda -Pazar öğleden sonra- davetsiz misafirler on bir gündür içerideydi, yedekler diğer her şeyle birlikte şifrelenmişti ve kimse siber sigorta yardım hattının telefon numarasını bulamıyordu. İhlalin kendisi dakikalar sürdü. Ardından gelen kaos üç hafta sürdü.
Bu tür olaylara örüntüyü erkenden fark edecek kadar çok kez dâhil oldum. Küçük ya da orta ölçekli bir işletmeyi felç eden yara nadiren eksik bir güvenlik duvarıdır. İlk altı saat için eksik olan plandır - kararları politikanın değil, paniğin verme eğiliminde olduğu süre.
İlk altı saat gerisini belirler
Olay müdahalesinin bir kurumsal tiyatro olduğuna dair rahatlatıcı bir efsane var: yalnızca 7/24 bir SOC ve bir uyum departmanınız olduğunda ihtiyaç duyacağınız bir şey. Bu tam tersidir. Büyük kuruluşlar karmaşık olaylardan sağ çıkar çünkü yedeklilik taşırlar ve avukatları sürekli hazırda tutarlar. Bir KOBİ ise hız ve netlik sayesinde ayakta kalır ve bir sunucuyu çevrimdışına almaya kimin yetkili olduğunu kimsenin bilmediği anda ikisi de buharlaşır.
Denetlemediğiniz saati düşünün. Birçok düzenleyici -ve çoğu siber sigorta poliçesi- keşiften itibaren 72 saat içinde bildirim yapılmasını bekler. Bunu kaçırırsanız, yalnızca ihlale uğramış olmazsınız; para cezalarına ve geçersiz kılınan bir tazminat talebine de maruz kalırsınız. Ekipler işi "anında çözmeye" çalıştığında, saldırgan sessizce ikinci bir veritabanını dışarı sızdırırken ilk günü kimin yetkili olduğunu tartışarak harcarlar.
Oyun kitabına gerçekte ne ait
İyi bir oyun kitabı, kimsenin açmadığı 60 sayfalık bir klasör değildir. Kriz ortasında düşünmek istemeyeceğiniz sorulara verilen kısa, özgül bir yanıtlar kümesidir:
- Kim karar verir. Adı belirlenmiş bir yedeği olan, adı belirlenmiş tek bir olay lideri. Bir komite değil. Bu kişi sistemlerin bağlantısını kesmeyi, dışarıdan yardım almayı ve -gerekirse- operasyonları duraklatmayı yetkilendirebilir.
- Kimin aranacağı, çevrimdışı. BT liderinizin, hukuk danışmanınızın, sigortacınızın ve bir adli bilişim firmasının telefon numaraları - yalnızca saldırganın artık ele geçirmiş olabileceği e-posta sisteminde saklanmış değil, basılı.
- Önceden tanımlanmış önem derecesi. Basit, üç kademeli bir ölçek; böylece kötü amaçlı yazılım bulaşmış bir dizüstü bilgisayar ile canlı bir veri ihlali aynı gece 3'teki tüm ekip seferberliğini tetiklemez.
- Önceden yetkilendirilmiş kontrol altına alma. Ekibinizin onay beklemeden alabileceği belirli eylemler - bir ana makineyi yalıtmak, kimlik bilgilerini sıfırlamak, bir hesabı engellemek.
- İletişim şablonları. Personel, müşteriler ve düzenleyiciler için bugün sakince yazılmış taslak metinler; böylece gece yarısı hukuki baskı altında onları kaleme almak zorunda kalmazsınız.
- Korunan kanıtlar. Tek satırlık bir kural: birileri günlükleri yakalamadan önce ele geçirilmiş makineyi silip yeniden imajlamayın. Zaten sildiğiniz şeyi soruşturamazsınız.
Gerçek olaydan önce tatbikatı yapın
Hiç prova etmediğiniz bir plan bir varsayımdır. Önerdiğim, getirisi en yüksek tek egzersizin doksan dakika ve bir toplantı odasından başka hiçbir maliyeti yoktur: bir masabaşı tatbikatı. Bir senaryoyu yüksek sesle okuyun -"finans birimi tuhaf bir havale bildiriyor; bir iş istasyonu garip davranıyor"- ve ekibi, karar karar, sesli olarak bunun içinden geçirin.
İlk masabaşı tatbikatı her zaman aynı şeyi ortaya çıkarır: herkes yedeklerin, iletişim bilgilerinin ya da yetkinin başkasında olduğunu varsaymıştır. Bunu gece 2'de değil, bir toplantı odasında keşfetmek çok daha iyidir.
Bunu yılda iki kez yapın. Senaryoyu değiştirin. "Bunu kontrol altına alıyoruz" anına ulaşmanın ne kadar sürdüğünü ölçün - bu sayı, ağınızdaki herhangi bir araçtan çok daha fazlasıyla, gerçek güvenlik duruşunuzdur.
Pazartesi nereden başlamalı
Başlamak için bütçeye ya da bir danışmana ihtiyacınız yok. Tek bir sayfa açın. Üç şeyi yazın: olay lideriniz kim, gece 2'de ihtiyaç duyacağınız beş telefon numarası ve ekibinizin kendi başına almaya önceden yetkilendirildiği üç eylem. O tek sayfa, sizi tanıştığım çoğu KOBİ'nin şimdiden önüne geçirir.
Oradan itibaren ilk masabaşı tatbikatını planlayın ve boşlukları size göstermesine izin verin. Hazırlık, bitirdiğiniz bir belge değildir - sürdürdüğünüz bir alışkanlıktır.
Bu hafta ekibinize sorulmaya değer soru "güvende miyiz?" değildir. "Olduğunda, ilk üç hamleyi biliyor muyuz?" sorusudur.