Poznaj czteroetapową metodę, która pomoże firmie stworzyć skuteczny plan cyfrowej odporności, aby w razie cyberataku mogła minimalizować szkody i podtrzymywać działalność operacyjną.
Wyobraź sobie, że pędzisz przez zatłoczone lotnisko z zamkniętą na klucz walizką. Niestety, zanim dotrzesz do zamykającej się bramki, ktoś wpycha się przed ciebie i zastępuje ci drogę. Twoje rzeczy są bezpieczne w walizce, ale nie możesz kontynuować podróży. W tej analogii walizka odgrywa rolę cyberzabezpieczeń, czyli chroni cię przed atakami, które potrafisz przewidzieć. Ponieważ jednak brakuje ci cyfrowej odporności – rozumianej jako umiejętność przeciwstawiania się niespodziewanym zakłóceniom – twoje plany podróżne i tak zostały pokrzyżowane.
Cyberbezpieczeństwo i cyfrowa odporność to odmienne zagadnienia, a zrozumienie różnicy między nimi stanowi podstawę do przygotowania skutecznej reakcji na cyberzagrożenia. Błędne założenie, że jakikolwiek program cyberbezpieczeństwa zastąpi cyfrową odporność, może mieć potencjalnie katastrofalne konsekwencje. O ile bowiem programy cyberbezpieczeństwa koncentrują się na trzymaniu napastników na dystans, celem cyfrowej odporności jest minimalizowanie chaosu spowodowanego przez tych, którym uda się przeniknąć do firmowej sieci. W związku z ewolucją cyberzagrożeń ratingi cyberbezpieczeństwa zaczną nieuchronnie wywierać ważny wpływ na oceny kredytowe, co sprawi, że brak profesjonalnego programu cyfrowej odporności nie będzie stanowić jedynie zagrożenia dla reputacji firmy. Dobrze zaprojektowany program cyfrowej odporności stanie się nie tylko źródłem przewagi konkurencyjnej, ale również koniecznym warunkiem zrównoważonego wzrostu.
Opisana w niniejszym artykule metoda budowania cyfrowej odporności składa się z czterech etapów: przygotowanie, wykrywanie, reagowanie i wracanie do zdrowia. Podejście to umożliwia wzmacnianie organizacyjnej zdolności do prowadzenia działalności operacyjnej w trakcie cyberataku, a równocześnie minimalizowanie szkód wynikających z zakłócenia działalności oraz ze zniszczenia reputacji. W gronie interesariuszy zaangażowanych w opracowywanie planu odporności mogą się znaleźć menedżerowie wyższego szczebla, tacy jak dyrektor do spraw technologii informacyjnych (CIO) i dyrektor do spraw bezpieczeństwa informacji (CISO) oraz pracownicy ośrodka ochrony bezpieczeństwa (security operations center) i zespół ds. reagowania na incydenty (incident response team). W niniejszym artykule analizujemy każdy z czterech etapów procesu i przedstawiamy przykłady rodzajów wyzwań napotykanych przez przedsiębiorstwa, a także możliwości poprawiania cyfrowej odporności.
Dobrze zaprojektowany program cyfrowej odporności stanie się nie tylko źródłem przewagi konkurencyjnej, ale również koniecznym warunkiem zrównoważonego wzrostu
Etap 1. Przygotowanie
Skuteczne przygotowanie to zbiorowy wysiłek największej wagi, wprost proporcjonalny do skuteczności całego planu odporności. Ta pierwsza faza wymaga największego organizacyjnego wsparcia w kategoriach zasobów i budżetu oraz współdziałania całej firmy. Pracując razem, przywódcy wyższego szczebla, eksperci do spraw bezpieczeństwa informacji i menedżerowie odpowiedzialni za ciągłość działalności biznesowej mogą przygotować wszechstronny plan umożliwiający podtrzymywanie najważniejszych zdolności i obszarów działalności operacyjnej w trakcie cyberataku.
Niezbędne kroki przygotowawcze obejmują: Opracowanie zasad cybernadzoru.
Zacznij od zdefiniowania firmowego poziomu tolerancji ryzyka, czyli ustal, do czego firma jest gotowa stracić dostęp, aby tylko podtrzymywać działalność operacyjną. Następnie przywódcy odpowiedzialni za bezpieczeństwo technologii informacyjnych mogą opracować przejrzyste zasady dopasowane do tego poziomu tolerancji. Zaplanuj konieczne zasoby kadrowe i zdolności techniczne na podstawie maksymalnego czasu – wyrażonego w dniach lub godzinach – jaki organizacja może przetrwać, zanim sięgnie po zapasowe systemy i źródła danych. Zdecyduj, jak bardzo aktualna kopia danych – czyli ile godzin, dni lub tygodni wcześniej utworzona – będzie potrzebna do podtrzymania działalności operacyjnej. Zasady powinny również obligować do wczesnego informowania o podejrzanych działaniach i określać częstotliwość monitorowania raportów analiz zagrożeń oraz okoliczności uzasadniające zwrócenie się o pomoc do prywatnych lub państwowych instytucji zajmujących się problematyką cyberbezpieczeństwa w razie wykrycia anomalii.
Poznanie istniejących systemów, technologii i źródeł danych.
Ustalanie, które systemy są rzeczywiście zagrożone, to ciągły, powtarzający się proces. Wymaga on określenia, które systemy i źródła danych należy traktować priorytetowo w kontekście ochrony. Aby wskazać, co jest podatne na atak, i stworzyć plan zabezpieczenia elementów wysokiego ryzyka, należy najpierw uporządkować według ważności najistotniejsze funkcje biznesowe i wykorzystywane do ich realizacji systemy (w tym źródła danych i kanały komunikacji z dostawcami). Następnie trzeba zbadać, jaki wpływ na te krytyczne zasoby mogą mieć różne scenariusze naruszenia bezpieczeństwa.
Menedżerowie do spraw cyberbezpieczeństwa powinni stale aktualizować wykaz niezbędnych sieciowych zasobów informacyjnych i systemów oraz dokumentować:
• jak każdy system jest identyfikowany w sieci i jakie procedury uzyskiwania dostępu stosuje, na przykład przez interfejs programowania aplikacji (API);
• wszystkie rozwiązania technologiczne – na przykład stosowane w urządzeniach tworzących internet rzeczy – które mają styczność z siecią;
• źródła danych wykorzystywane przez systemy i rozwiązania technologiczne w sieci;
• osoby i grupy, które mają dostęp do tych systemów;
• regularne kontrole, że aktywne systemy nadzoru bezpieczeństwa działają prawidłowo i są „włączone”.
Ciągłe aktualizowanie i testowanie kopii zapasowych. Trudno przecenić znaczenie często aktualizowanych i regularnie testowanych kopii zapasowych. Zespoły powinny stworzyć dokumentację dla miejsc przechowywania kopii zapasowych i regularnie sprawdzać, czy kopie są tworzone zgodnie z harmonogramem. Aby skrócić czas przestoju w razie ataku, zespoły do spraw bezpieczeństwa technologii informacyjnych i ciągłości działalności biznesowej muszą zadbać o natychmiastową dostępność wszelkich nośników i zasobów potrzebnych do importowania kopii zapasowych. Trzeba też wiedzieć, jak długo trwa odzyskiwanie i importowanie zapasowych danych oraz uwzględnić ewentualną konieczność fizycznego transportu serwerów z danymi lub sprzętu.
Na przykład w czasie ataku ransomware WannaCry w 2017 roku, który sparaliżował organizacje na całym świecie, wiele firm zostało unieruchomionych, ponieważ nie wiedziały, jakiego rodzaju nośniki są używane do przechowywania kopii zapasowych, gdzie kopie te się znajdują lub kto je obsługuje (pracownicy wewnętrzni czy dostawcy usług outsourcingowych), nie rozumiały, jak efektywnie wykorzystać kopie zapasowe lub nie były pewne jakości zachowanych danych.
Ustanowienie szczegółowego procesu weryfikacyjnego dla dostawców. Zaprojektuj procedury weryfikacyjne, aby upewnić się, że dostawcy – szczególnie usług w chmurze – mają plany odporności gwarantujące ciągłość ich własnej działalności. Część wytycznych do analizowania dostawców zawiera program FedRAMP – Federal Risk and Authorization Management Program – który został opracowany przez rząd Stanów Zjednoczonych, aby zapewnić odpowiedni standard usług od dostawców na szczeblu federalnym. Firmy mogą go wykorzystywać przy opracowywaniu standardów dopasowanych do własnych potrzeb.
Wprowadzenie automatyzacji. Użycie sztucznej inteligencji (AI) i uczenia maszynowego do samoobrony na platformach cyberbezpieczeństwa może znacznie poprawić zabezpieczenie firm przed szkodą, ponieważ technologie te potrafią się uczyć na podstawie tego, czego doświadczają jako „normalne”, i generują alerty, gdy wykrywają nienormalne lub nietypowe zachowania. Sztuczna inteligencja i uczenie maszynowe mogą na przykład łatwo wykryć niezaplanowany spadek wydajności systemu lub masowe pobieranie wrażliwych danych poza harmonogramem i w reakcji zainicjować zamknięcie potencjalnie zainfekowanych systemów, zapisanie dziennika działań i przekierowanie transakcji (na serwer zapasowy lub lustrzany), aby firma mogła kontynuować działalność operacyjną i jednocześnie diagnozować zagrożenie.
Zaplanowanie alternatywnych miejsc pracy. Aby pracownicy mogli działać podczas trwającego cyberataku, należy określić zapotrzebowanie na zapasowe urządzanie mobilne i alternatywne miejsca pracy wyposażone w łączność i dostęp do sieci, które będą gotowe do użycia, jeśli okaże się to potrzebne na etapie powrotu do zdrowia.
Ciągłe szkolenia. Aby wszyscy rozumieli, jakich procedur przestrzegać przy wdrażaniu planu ciągłości działalności w trakcie cybernetycznego ataku, niezbędne są bezustanne szkolenia – dla zespołu do spraw bezpieczeństwa, pracowników zajmujących się obsługą klientów i administratorów firmowego zaplecza. Dyrektorzy do spraw bezpieczeństwa informacji powinni przeprowadzać ćwiczenia symulacyjne z powstrzymywania ataków i podtrzymywania działalności w trakcie ataku. Powinni również zachęcać działy do ćwiczenia własnych reakcji na najważniejsze zagrożenia metodą odgrywania ról, włącznie z trenowaniem manualnego wykonywania procesów, na wypadek, gdyby systemy komputerowe przestały działać. Najważniejsi firmowi interesariusze (menedżerowie działów i personel prowadzący działalność operacyjną) oraz zespół do spraw cyberbezpieczeństwa muszą rozumieć, co robić w razie problemów, więc sam plan musi być aktualizowany i testowany co najmniej raz do roku. To ogromnie ważne, aby wszyscy interesariusze wiedzieli, do kogo zadzwonić i co robić z myślą o błyskawicznym podjęciu przez firmę działalności.
Etap 2. Wykrywanie
Wykrywanie zagrożeń – podobnie jak etap przygotowań – wymaga współpracy. Zależnie od zdolności i potrzeb firmy można powołać centralną jednostkę, taką jak ośrodek ochrony bezpieczeństwa, która będzie odpowiedzialna za analizowanie, ocenianie i triage cyberataków, rozstrzygając o aktywowaniu zespołu ds. reagowania na incydenty. W większości firm reakcja zaczyna się na poziomie menedżerów wyższego szczebla, gdzie dyrektor do spraw technologii informacyjnych lub dyrektor do spraw bezpieczeństwa informacji ocenia powagę incydentu i rekomenduje strategie łagodzenia jego wpływu na cele biznesowe. Od tego momentu zespoły odpowiedzialne za kwestie cyfrowe, IT, operacyjne i biznesowe współdziałają przy wdrażaniu monitorowania i oceniają skutki biznesowe ataku w czasie rzeczywistym.
Skuteczne wykrywanie zagrożeń wymaga podjęcia następujących kroków:
Uświadamianie cyberzagrożeń. Sytuacyjną świadomość na temat potencjalnych niebezpieczeństw, rzeczywistych ataków i najlepszych praktyk łagodzenia ich skutków buduje się na podstawie globalnych danych i analiz zagrożeń.
Podstawowym narzędziem do wykrywania ataków są raporty o zagrożeniach z agencji rządowych i od dostawców z sektora prywatnego, takich jak lider branży analizowania globalnych zagrożeń FireEye i sponsorowane przez FBI publiczno‑prywatne konsorcjum InfraGard, zajmujące się udostępnianiem analiz na temat zagrożeń. Firmy powinny przyswajać informacje o niebezpieczeństwach i wdrażać automatyczne wyzwalacze (obsługiwane przez AI lub uczenie maszynowe), które będą inicjować automatyczne tworzenie i odzyskiwanie zapasowych kopii danych oraz izolowanie wskazanych systemów.
Inwestowanie w protokoły aktywnego monitorowania. Informacje dotyczące bezpieczeństwa i oprogramowanie do zarządzania incydentami dają specjalistom od bezpieczeństwa informacji zapis działań w obrębie firmowego środowiska IT i wgląd w nietypową aktywność sieciową, szczególnie taką, która może powodować awarie serwerów, utratę lub zniszczenie danych. W protokoły aktywnego monitoringu można inwestować, wybierając oferty zarządzania bezpieczeństwem, opcje ochrony jako usługi lub usługi w chmurze, których celem jest uczynienie firmowych danych i zasobów systemowych niewykrywalnymi dla cybernapastników.
Szybkie reagowanie na zagrożenia. Wykrywanie niebezpieczeństw sprawdza się najlepiej, gdy wywołuje szybką reakcję, należy więc tworzyć i egzekwować zasady wykrywania zagrożeń dla pracowników i innych partnerów firmy. Nie warto patrzeć na instytucje federalne, na przykład FBI, jak na ostatnią deskę ratunku; lepiej traktować je jako zaufanych partnerów przy ustalaniu tożsamości napastników i redukowaniu prawdopodobieństwa powtórnych ataków oraz wsparcie przy skuteczniejszym i szybszym reagowaniu, jak też powrocie do zdrowia.
Zapisywanie informacji o atakach i dzielenie się nimi. Od najwcześniejszego momentu prawdopodobnego ataku lub próby naruszenia zabezpieczeń należy zachowywać istotne informacje, takie jak dzienniki sieciowe, które można poddać analizie kryminalistycznej, aby rozpoznać techniki stosowane przez cybernapastników, ich taktyki i procedury. Dane te należy udostępniać zaufanym niekomercyjnym partnerom zajmującym się analizowaniem zagrożeń, takim jak FBI, aby w ten sposób pomagać w rozwijaniu silnego ekosystemu cyfrowej odporności.
Etap 3. Reagowanie
Jak firma powinna reagować na zagrożenie lub atak? Przede wszystkim musi się skupić na ograniczaniu strat, skróceniu czasu powrotu do zdrowia, szybkim wznowieniu działalności operacyjnej i ochronie przed szkodami o charakterze finansowym lub wizerunkowym. W tym etapie może uczestniczyć wielu różnych graczy: zespół do spraw reagowania na incydenty może realizować koordynowane przez menedżerów wyższego szczebla strategie łagodzenia skutków i przekazywać przywódcom najnowsze informacje na temat postępów. Liderzy wyższego szczebla oraz menedżerowie odpowiedzialni za działalność operacyjną mogą obserwować media społecznościowe, aby mierzyć reakcje zewnętrznych interesariuszy i przygotowywać komunikaty dotyczące kwestii kadrowych i PR‑owych dla pracowników, klientów, organów ścigania, inwestorów i prasy. Członkowie zespołu prawnego mogą pomagać przywódcom wyższego szczebla w określaniu możliwych prawnych konsekwencji i w podjęciu decyzji o zaangażowaniu organów ścigania.
Reakcje na atak dzielą się na dwie podstawowe kategorie:
Reakcje techniczne. Ponieważ są one uzależnione od charakteru konkretnego ataku, nie sposób omówić wszystkich możliwych działań w niniejszym artykule. Do powszechnych reakcji technicznych należą: powiadomienie o zagrożeniu i rozesłanie alertu do członków zespołu i menedżerów na kolejnych szczeblach hierarchii (notification and escalation), przeciwdziałanie lub zatwierdzenie kroków, które pozwolą zminimalizować ryzyko zakłócenia działalności operacyjnej i zapobiegną przerodzeniu się ataku w kryzys. Procedury podejmowane, aby opanować naruszenie bezpieczeństwa lub ograniczyć szkody, mogą polegać na segmentacji sieci, odizolowaniu zainfekowanych systemów, odłączeniu wszelkich połączeń sieciowych, wyłączeniu komputerów w celu zatrzymania dalszego rozprzestrzeniania się zagrożenia i uruchomieniu efektywnych systemów zapasowych, kiedy dojdzie do awarii systemów podstawowych.
Reakcje biznesowe. Aby mieć pewność, że reakcje na incydenty cyfrowe są realizowane błyskawicznie i właściwie, firma powinna koordynować wewnętrzne i zewnętrzne komunikaty i rozważnie decydować, czy, kiedy i jak upubliczniać fakt naruszenia bezpieczeństwa i informować o nim takich interesariuszy, jak: partnerzy, klienci, rady, zespoły prawne i media. Inne reakcje obejmują zamawianie audytów; nadzorowanie zgodności z przepisami i zapewniania jakości danych (data assurance); dokonywanie inwestycji mających na celu łagodzenie szkód technicznych lub ochronę marki, na przykład świadczenie bezpłatnych usług monitorowania aktywności kredytowej lub finansowe rekompensowanie klientom szkód spowodowanych w efekcie naruszenia bezpieczeństwa danych.
Cyberbezpieczeństwo nie jest tożsame z cyfrową odpornością. Jeśli pierwsze zawiedzie, drugie musi zapewnić firmie przetrwanie w ciągle zmieniającym się krajobrazie zagrożeń.
Etap 4. Wracanie do zdrowia
Etap ten obejmuje: odzyskiwanie danych, powrót do normalnej działalności operacyjnej (jeśli to konieczne w alternatywnych miejscach pracy wyznaczonych na etapie przygotowań), śledzenie działań i kosztów związanych z incydentem i dopracowanie przyszłych planów odporności na podstawie wyciągniętych wniosków. Do najważniejszych graczy należą dyrektor do spraw technologii informacyjnych lub dyrektor do spraw bezpieczeństwa informacji, który nadzoruje powrót do zdrowia i działania kryminalistyczne, w razie konieczności zgłasza incydent i dokumentuje jego szczegóły na potrzeby przywódców wyższego szczebla. Pracownicy odpowiedzialni za sprawy kadrowe i PR mogą informować wewnętrznych i zewnętrznych interesariuszy o przebiegu procesu powrotu do zdrowia, skutkach biznesowych incydentu i planach wznowienia regularnej działalności operacyjnej.
Menedżerowie wyższego szczebla i odpowiedzialni za działalność operacyjną mogą nadzorować wznawianie funkcjonowania firmy, oceniać wpływ ataku na działalność biznesową lub szkody, występować z wymaganymi roszczeniami ubezpieczeniowymi i przedstawiać informacje zwrotne dotyczące skuteczności samego planu. Główne działania dotyczące powrotu do zdrowia obejmują:
Odzyskiwanie danych. Ponowne uruchomienie działalności operacyjnej może się wiązać z odtworzeniem, odzyskaniem i przywróceniem danych uszkodzonych w efekcie ataku. Odzyskiwanie awaryjne z użyciem chmury – czyli rozwiązanie stosowane głównie w przypadku infrastruktury oferowanej jako usługa – polega na stworzeniu kopii zapasowej określonych danych systemowych na zdalnym serwerze obsługiwanym w chmurze poza firmą.
Bardzo ważny jest natychmiastowy dostęp do danych przechowywanych w chmurze lub poza firmą. Być może eksperci do spraw zabezpieczeń będą musieli potwierdzić, czy jakieś dane nie zostały uszkodzone lub całkowicie zniszczone.
Dokumentacja i analiza. Aby lepiej przygotować się na kolejne ataki, nieodzowne jest udokumentowanie i ocena całego wydarzenia z naciskiem na wyciągnięte wnioski.
Firma powinna przeanalizować swoją reakcję, rozważając następujące pytania:
• Co się wydarzyło i kiedy? Czy incydent został wykryty wystarczająco szybko?
• Czy firma miała do dyspozycji odpowiednich pracowników, aby zareagować? Jak dobrze pracownicy i kierownictwo uporali się z incydentem? Czy przestrzegano udokumentowanych procedur?
• Czy powrót do zdrowia i wznowienie działalności nastąpiły tak szybko, jak oczekiwano? Czy pliki zapasowe były dostępne i aktualne? Ocena i korekta reakcji.
Szczególnie po poważnym incydencie naruszenia bezpieczeństwa należy ponownie ocenić postawę firmy wobec ryzyka – która została zdefiniowana na etapie przygotowań – aby ustalić, czy wcześniej stworzone plany i dokonane inwestycje zapewniły pożądane efekty w czasie ataku. Należy rozważyć między innymi następujące pytania:
• Czy któreś z podjętych kroków lub działań mogły opóźnić powrót firmy do zdrowia?
• Co pracownicy i kierownictwo zrobią inaczej następnym razem, gdy dojdzie do podobnego incydentu? • Jakie działania naprawcze mogą zapobiec podobnym incydentom w przyszłości?
• Jakie dodatkowe narzędzia lub zasoby są potrzebne, aby wykrywać, analizować i łagodzić przyszłe incydenty? Czteroetapowy plan cyfrowej odporności – który określa wyraźne role i obowiązki, jest starannie dopasowany do potrzeb i stale aktualizowany, aby zapewniać bezpieczeństwo danych – może sprawić, że firma będzie gotowa stawić czoło ewoluującym cyberzagrożeniom, równocześnie minimalizując zakłócenia, ograniczając szkody i podtrzymując najważniejsze elementy działalności operacyjnej.
Przedsiębiorstwa muszą pamiętać, że cyberbezpieczeństwo nie jest tożsame z cyfrową odpornością; jeśli pierwsze zawiedzie, drugie musi zapewnić firmie przetrwanie w ciągle zmieniającym się krajobrazie zagrożeń.
