Ръководство за преговори при ransomware атака за бизнес лидери

Ръководството за преговори при ransomware не е сценарий за пазарене с престъпници. То е рамка за вземане на бизнес решения в часовете, когато системите не работят, задълженията към клиентите са под риск и всяко действие може да повлияе на възстановяването, правната експозиция и застрахователното покритие. Целта е да си върнете контрола над инцидента, а не просто да получите ключ за декриптиране.

При ransomware атаките често има много повече от криптирани файлове. Нападателите може да са копирали чувствителна информация, да са получили достъп до електронната поща, да са нарушили облачни услуги или да са набелязали системите, които поддържат заплатите, операциите и доставките към клиентите. Затова преговорите са само един от работните потоци в координирана реакция. Ограничаването, разследването, комуникациите, планирането на възстановяването и уведомяването на застрахователя трябва да вървят едновременно.

Ръководство за преговори при ransomware: започнете с контрола

Първият приоритет е да се ограничат допълнителните щети. Изолирайте засегнатите устройства и мрежови сегменти, запазете съответните журнали (логове) и не позволявайте на неоторизирани служители да комуникират с нападателите. Не изтривайте системи, не рестартирайте безразборно и не започвайте мащабно възстановяване, преди екипът за реакция при инциденти да е събрал доказателствата, нужни, за да се разбере какво се е случило.

Квалифициран екип по криминалистика трябва да установи първоначалните факти: кои системи са засегнати, дали данните са били криптирани или откраднати, дали достъпът на нападателите още е активен и какви възможни пътища за възстановяване съществуват. Тази оценка променя позицията при преговорите. Организация с чисти, тествани резервни копия и ограничена експозиция на данни може да има повече възможности от такава, която е изправена пред продължителен оперативен срив и потвърдена кражба на данни.

Същевременно създайте малка група за вземане на решения, която има правомощия да действа. Като правило тя трябва да включва изпълнителното ръководство, ръководителя на ИТ или сигурността, юридическия съветник, финансите и лицето, отговорно за киберзастраховката. Ръководителите на оперативните звена могат да предоставят информация за въздействието върху бизнеса, необходима за определяне на приоритетите при възстановяването, но преговорите не бива да се превръщат в упражнение за комисия. Твърде много гласове водят до противоречиви послания и забавяне на решенията.

Уведомете правилните страни, преди да поемете ангажименти

Ако организацията има киберзастраховка, уведомете застрахователя или брокера веднага щом полицата го изисква, дори когато пълният обхват още не е известен. Много полици съдържат условия за незабавно уведомяване, съгласие за определени разходи, одобрени доставчици за реакция при инциденти и решения, свързани с плащане. Ако изчакате, докато се обмисля плащане, може да създадете излишна несигурност относно покритието.

Тук застрахователната подкрепа има практическа стойност отвъд текста на полицата. Процесът по претенцията може да помогне за координирането на юристи по нарушения на данните, цифрова криминалистика, преговарящи при ransomware, PR подкрепа и доставчици за възстановяване. Покритието може да реагира различно в зависимост от това дали основната загуба е свързана с прекъсване на дейността, разходи за реакция при инцидент, възстановяване на данни, отговорност за поверителност или кибер изнудване. Организацията трябва да разбира тези разлики, преди да реши каква тежест да придаде на искането на нападателите.

Юридическият съветник също трябва да оцени задълженията за уведомяване, договорните ангажименти и риска от санкции. Плащането на откуп може да породи правни и регулаторни проблеми, ако получателят подлежи на приложими санкционни ограничения. Никоя организация не бива да приема, че плащането е позволено само защото нападателят е предоставил адрес за криптовалута или твърди, че принадлежи към известна група.

Разберете какво всъщност се договаря

Искането за откуп рядко е просто цена на инструмент за декриптиране. Нападателите може да искат плащане за декриптор, за обещание да не публикуват откраднати данни, за изтриване на копираните файлове или за всичко това заедно. Всяко твърдение трябва да се третира с предпазливост. Уверенията на престъпниците не са договорни гаранции, а плащането не доказва, че откраднатите данни са изтрити или че нападателят няма да се върне.

Екипът за реакция при инцидента трябва да проверява техническите твърдения, където е възможно. Ако нападателите предложат примерно декриптиране, тествайте го безопасно върху непродукционни копия на засегнатите данни. Установете дали инструментът работи, дали може да се справи с необходимия мащаб и дали не създава допълнителни проблеми със стабилността или сигурността. Работещият декриптор може все пак да е по-бавен от възстановяването от резервни копия, особено в големи или сложни среди.

Същата дисциплина важи и за твърденията за кражба на данни. Криминалистичното разследване може да установи до кои системи е имало достъп, за какъв период и какви видове данни вероятно са изложени. Тази информация помага на организацията да прецени задълженията си във връзка с поверителността и реалните последици от евентуална публикация. Тя също така предпазва от решения, основани единствено на заплашителни екранни снимки или необосновани изявления на нападателите.

Ползвайте професионална помощ при преговорите

Преговорите при ransomware трябва да се водят от опитни професионалисти, които работят под ръководството на юристи и застрахователя. Тяхната роля не е да превърнат плащането в нормална практика. Те поддържат контролирана комуникация, събират информация, проверяват твърденията на нападателите, избягват ненужно разкриване на данни и печелят време, за да може организацията да прецени алтернативите.

Вътрешните служители не бива да импровизират директни разговори. Един добронамерен служител може да разкрие финансовото състояние на организацията, оперативния натиск, застрахователния ѝ статус или ограниченията при възстановяването. Тези подробности могат да отслабят позицията на компанията и да усложнят реакцията. Единственият, документиран комуникационен канал е по-безопасен и по-лесен за управление.

Професионалните преговарящи могат да се опитат да спечелят повече време, да оспорят необосновани твърдения и да изяснят какво всъщност твърдят нападателите, че предоставят. Въпреки това лидерите не бива да приемат преговорните тактики за основния отговор. Най-силното предимство идва от проверени резервни копия, сегментирани системи, надеждни процедури за възстановяване, точно познаване на изложените данни и дисциплиниран процес за реакция при инциденти.

Вземете решението за плащане с пълно разбиране на бизнес контекста

Дали да платите, е решение с високи залози, което зависи от конкретните факти. Няма универсално правилен отговор. Лидерите трябва да преценят вероятната продължителност и цена на възстановяването без декриптор, безопасността и пълнотата на наличните резервни копия, въздействието върху клиентите и критичните услуги, правните ограничения, регулаторните задължения и условията на киберзастрахователната полица.

Плащането има съществени ограничения. То може да не доведе до работещ декриптор. То не премахва необходимостта да се изградят наново компрометираните системи, да се подменят паролите и идентификационните данни, да се затвори първоначалният път за достъп или да се проучи възможна кражба на данни. Плащането може също да изложи организацията на измама, проблеми със санкции и повторно прицелване. Дори когато плащането е законно допустимо и търговски обосновано, то трябва да бъде разрешено само чрез документиран процес с участието на юристи, застрахователя и съответното изпълнително ръководство.

Финансовото сравнение трябва да е реалистично. Изчислете повече от сумата на откупа. Включете прекъсването на дейността, извънредния труд, доставчиците за възстановяване, пропуснатите приходи, затрудненията в обслужването на клиентите, юридическия преглед, разходите за уведомяване и потенциалната регулаторна експозиция. След това сравнете тези разходи с времето, нивото на сигурност и оперативния риск, свързани с всяка възможност за възстановяване.

Възстановяването започва, преди преговорите да приключат

Преговорите никога не бива да забавят техническото възстановяване. Организацията трябва да започне да възстановява приоритетните услуги от известни чисти резервни копия или от наново изградени среди, веднага щом това е безопасно. Критичните услуги може да се налага да се връщат на етапи, с допълнително наблюдение и контрол на достъпа, докато разследването продължава.

Преди да възстановите системите, премахнете условията, които са направили инцидента възможен. Това може да включва затваряне на изложен отдалечен достъп, прилагане на актуализации за сигурност, подмяна на привилегированите идентификационни данни, въвеждане на многофакторна автентикация, преглед на правата за достъп и засилване на наблюдението на крайните устройства и мрежата. Възстановяването на сървър в същата несигурна среда може да превърне ransomware атаката в повторен инцидент.

Комуникациите също изискват внимание. Клиентите, служителите, партньорите, регулаторите и правоохранителните органи може да се нуждаят от навременна информация, но съобщенията трябва да са точни и съгласувани с юристите. Избягвайте прибързани изявления за обхвата на изложените данни или за очакваните срокове за възстановяване. По-лесно е да запазите доверието, когато организацията съобщава какво е известно, какво се проучва и какви защитни мерки се предприемат.

Изградете готовност за преговори преди атаката

Най-добрата позиция при преговори за ransomware се изгражда много преди нападателят да се свърже с вас. Тестваните офлайн или неизменяеми (immutable) резервни копия, документираните приоритети за възстановяване, откриването и реакцията на крайни точки (EDR), мрежовата сегментация, защитеният отдалечен достъп и планирането на реакцията при инциденти намаляват зависимостта от обещанията на престъпниците. Тези мерки подпомагат и изискванията за сигурност, които много кибер застрахователи оценяват при сключването на полица.

Организациите трябва да прегледат лимитите, самоучастията (задържанията), покритието при изнудване, разпоредбите за прекъсване на дейността и условията за реакция при инциденти в киберзастрахователната си полица заедно с техническата си защита. Една полица, която на хартия изглежда достатъчна, може да не съответства на реалната експозиция на приходите на организацията, на срока ѝ за възстановяване или на договорните ѝ задължения. Съгласуването на мерките за киберсигурност със застрахователното покритие създава по-обоснована реакция, когато настъпи инцидент.

За бизнес лидерите практическият въпрос не е дали искането за откуп може да бъде договаряно. Въпросът е дали организацията може да вземе контролирано, правно обосновано решение, като същевременно продължава да защитава клиентите си, да възстановява операциите и да запазва дългосрочната си устойчивост. Ясният план за реакция, подкрепен от експертиза по киберсигурност и подходящи застрахователни насоки, дава на организацията повече възможности в момента, когато решенията имат най-голямо значение.

Бърз контролен списък за готовност при ransomware

Често задавани въпроси