Upravljanje odlukama o plaćanju otkupnine kod ransomwarea za NIS2 i DORA

Radni je dan 2026. godine, 3:17 ujutro. Mariju, CISO brzo rastuće fintech platforme, poruka glavnog SOC analitičara uvlači u krizni konferencijski poziv: potvrđeno je masovno šifriranje, temeljne usluge su nedostupne, a ransomware skupina tvrdi da je ukrala 2 TB podataka klijenata.

Prvi se u poziv uključuje glavni izvršni direktor. Zatim pravni poslovi. Potom privatnost, financije, komunikacije, kibernetički osiguratelj, forenzički pružatelj usluga i tim za operacije u oblaku. Portal na dark webu prikazuje odbrojavanje od 48 sati i sedmeroznamenkasti zahtjev u kriptovaluti.

Glavni izvršni direktor postavlja pitanje kojeg se svaki CISO pribojava.

„Možemo li platiti i tko smije odlučiti?”

Pogrešan je odgovor tretirati to kao pregovarački problem. Ispravan je odgovor tretirati to kao pitanje upravljanja.

U 2026. upravljanje odlukom o plaćanju otkupnine kod ransomwarea više nije privatna, tehnička krizna odluka. Mogu ga preispitivati regulatori, revizori, osiguratelji, klijenti, tijela kaznenog progona, dioničari i uprava. Odluka o plaćanju presijeca se sa sankcijskom izloženošću, procjenom povrede osobnih podataka, uvjetima kibernetičkog osiguranja, ugovornim obvezama, kriznim komunikacijama, očuvanjem dokaza, faznim izvješćivanjem prema NIS2, klasifikacijom incidenata prema DORA, obavješćivanjem prema GDPR i poboljšanjima nakon incidenta.

Zato Clarysec savjetuje klijentima da upravljanje odlukom o plaćanju otkupnine kod ransomwarea ugrade u ISMS prije incidenta. ISO/IEC 27001:2022 daje strukturu sustava upravljanja. Kontrole ISO/IEC 27002:2022 daju operativni model. Zenith Blueprint: revizorov plan u 30 koraka i Zenith Controls: vodič za međuregulatornu usklađenost pomažu tu strukturu pretvoriti u praktične, revizijski provjerljive dokaze.

Operativne upute za ransomware koje kažu „obavijesti pravne poslove” nisu dovoljne. Organizacija mora znati tko može odobriti pregovore, kako se provodi provjera sankcija, kada osiguratelj mora dati odobrenje, kako se dokumentira klasifikacija prema GDPR, NIS2 i DORA te kako se dokazi štite dok timovi za oporavak rade pod pritiskom.

Zašto ad hoc odluke o plaćanju otkupnine kod ransomwarea ne uspijevaju

Odluka o plaćanju otkupnine kod ransomwarea često se opisuje kao binarna: platiti ili ne platiti. U stvarnosti, odluka ima najmanje šest slojeva:

1. Je li događaj potvrđen, ograničen i ispravno klasificiran?
2. Jesu li pogođeni osobni podaci, regulirani podaci ili pružanje kritične usluge?
3. Smije li organizacija pravno komunicirati ili provesti transakciju s akterom prijetnje?
4. Zahtijeva li kibernetičko osiguranje prethodnu obavijest, odobrene dobavljače, suglasnost ili posebne dokaze?
5. Bi li plaćanje smanjilo utjecaj na poslovanje ili bi povećalo pravni, financijski i reputacijski rizik?
6. Tko ima ovlast odlučiti i kako se ta odluka zapisuje?

Tijekom aktivnog incidenta nepovezani timovi često vuku u različitim smjerovima. Financijski direktor može otkupninu promatrati kao poslovni trošak u usporedbi s rastućim zastojem. Pravni poslovi vide sankcije, financijski kriminal i regulatornu izloženost. DPO procjenjuje stvaraju li šifrirani ili izneseni podaci prijavljivu povredu osobnih podataka. Usklađenost prati rokove izvješćivanja prema NIS2 i DORA. CISO pokušava očuvati dokaze dok obnavlja usluge. Glavni izvršni direktor želi preporuku prije isteka napadačeva odbrojavanja.

Bez formalnog postupka odlučivanja najglasniji glas u prostoriji može postati model upravljanja. Upravo je to situacija koju suvremena regulativa kibernetičke sigurnosti nastoji spriječiti.

NIS2 kibernetičku sigurnost čini odgovornošću uprave. Article 20 uređuje upravljanje i odgovornost upravljačkih tijela, dok Article 21 zahtijeva mjere upravljanja rizicima koje obuhvaćaju postupanje s incidentima, neprekidnost poslovanja, upravljanje sigurnosnim kopijama, upravljanje krizama, sigurnost opskrbnog lanca, kontrolu pristupa, upravljanje imovinom, MFA i procjenu učinkovitosti. Article 23 uvodi fazno izvješćivanje o značajnim incidentima, uključujući rano upozorenje u roku od 24 sata, obavijest u roku od 72 sata i završno izvješće u roku od mjesec dana kada je primjenjivo.

Za financijske subjekte DORA je sektorski pravilnik za operativnu otpornost. Article 5 stavlja odgovornost za upravljanje IKT rizicima na upravljačko tijelo. Articles 17, 18 i 19 uređuju upravljanje incidentima povezanima s IKT-om, klasifikaciju i prijavljivanje većih incidenata povezanih s IKT-om. DORA također zahtijeva sposobnosti odgovora i oporavka, sigurnosno kopiranje i vraćanje podataka, učenje nakon incidenta, testiranje i upravljanje IKT rizicima trećih strana.

GDPR dodaje zasebnu, ali preklapajuću procjenu. Ako ransomware prouzroči slučajno ili nezakonito uništenje, gubitak, izmjenu, neovlašteno otkrivanje osobnih podataka ili pristup njima, voditelj obrade mora procijeniti je li došlo do povrede osobnih podataka. Ako je obavješćivanje potrebno, rok za obavješćivanje nadzornog tijela u pravilu je 72 sata od saznanja. Ako postoji visok rizik za pojedince, može biti potrebna i komunikacija s pogođenim pojedincima.

Zaključak je jednostavan: pitanje otkupnine ne smije se prvi put postaviti u kriznoj sobi.

Kontrole ISO 27001:2022 koje podupiru upravljanje plaćanjem

ISMS prema ISO/IEC 27001:2022 nije kontrolni popis za revizore. To je sustav upravljanja za donošenje odluka temeljenih na riziku. Upravljanje plaćanjem otkupnine kod ransomwarea pripada tom sustavu jer objedinjuje procjenu rizika, obradu rizika, uloge, pravne obveze, odgovor na incidente, neprekidnost poslovanja, upravljanje dobavljačima i kontinuirano poboljšanje.

Najrelevantnije kontrole Priloga A norme ISO 27001:2022 čine povezani lanac kontrola.

U Zenith Controls, odjeljak za A.5.24, planiranje i pripremu upravljanja incidentima informacijske sigurnosti, klasificira kontrolu kao korektivnu, povezanu s povjerljivošću, cjelovitošću i dostupnošću te usklađenu s konceptima odgovora i oporavka. Također povezuje A.5.24 s procjenom događaja A.5.25, učenjem iz incidenata A.5.27, zapisivanjem događaja A.8.15, praćenjem A.8.16, sigurnošću tijekom poremećaja A.5.29, neprekidnošću i kontaktom s nadležnim tijelima.

To je važno jer je upravljanje plaćanjem otkupnine kod ransomwarea lanac. Ako ne možete otkriti i klasificirati događaj, ne možete odlučiti. Ako ne možete očuvati dokaze, ne možete obraniti odluku. Ako pravne obveze nisu mapirane, pregovaranje ili plaćanje može biti nezakonito. Ako mogućnosti oporavka nisu testirane, izvršni rukovoditelji mogu biti pritisnuti na odluku temeljenu na strahu, a ne na činjenicama.

Zenith Controls jasno opisuje odnos između pripreme i donošenja odluka:

“5.25 je točka odlučivanja koja određuje kada događaj prelazi prag sigurnosnog incidenta i pokreće radnje navedene u 5.26. Pravodobna i točna procjena događaja osigurava da odgovor na incidente nije ni odgođen ni pogrešno usmjeren.”

Isti vodič povezuje A.5.31, pravne, zakonske, regulatorne i ugovorne zahtjeve, s privatnošću, zadržavanjem zapisa, neovisnim pregledom i usklađenošću s internim politikama. Za ransomware, A.5.31 je mjesto na kojem se provjera sankcija, obveze osiguranja, uključivanje tijela kaznenog progona, ugovori s klijentima, obveze zaštite podataka i sektorsko regulatorno izvješćivanje bilježe u jednom registru usklađenosti.

Clarysecov model upravljanja plaćanjem otkupnine kod ransomwarea u pet kontrolnih točaka

Clarysecov model razdvaja upravljanje odlukom o plaćanju otkupnine kod ransomwarea u pet kontrolnih točaka. Svrha nije olakšati plaćanje. Svrha je svaku odluku, uključujući odbijanje plaćanja, učiniti utemeljenom na dokazima, pravno pregledanom, autoriziranom i prikladnom za reviziju.

Ovaj model koristi logiku obrade rizika iz ISO 27001. Plaćanje otkupnine kod ransomwarea nije sigurnosna kontrola. Ono je, najviše, krizna opcija razmatrana u kontekstu obrade rizika i oporavka. Prije incidenta organizacija je već trebala odlučiti kako se ransomware rizici obrađuju: ublažavanjem kroz kontrole, prijenosom dijela financijske izloženosti kroz osiguranje, izbjegavanjem neprihvatljivih naslijeđenih ovisnosti ili izričitim prihvaćanjem preostalog rizika gdje je to opravdano.

U fazi upravljanja rizicima, korak 13, Planiranje obrade rizika i Izjava o primjenjivosti, Zenith Blueprint upućuje organizacije da odrede opcije obrade za svaki rizik i dokumentiraju ih u registru rizika. Upozorava da prijenos, kao što je kibernetičko osiguranje, ne uklanja potrebu za kontrolama jer prijenos često pokriva financijski utjecaj, a ne vjerojatnost. Također navodi:

“Prihvaćanje mora biti izričito i odobreno od uprave, osobito za sve srednje rizike. Visoki rizici rijetko se prihvaćaju osim ako su doista neizbježni i dogovoreni na najvišoj razini.”

Ta je rečenica izravno relevantna za upravljanje plaćanjem otkupnine kod ransomwarea. Ako se od uprave traži da prihvati preostali rizik odbijanja plaćanja ili pravni i reputacijski rizik odobravanja pregovora, prihvaćanje mora biti izričito, zabilježeno i odobreno od odgovarajućeg ovlaštenog tijela.

Clarysecova Politika upravljanja rizicima potvrđuje isto načelo:

“Odluke o obradi rizika moraju biti usklađene s unaprijed definiranim opcijama”
Iz točke 5.5.

Odluka o otkupnini stoga nije zaobilaznica upravljanja rizicima. Mora se obraditi kao formalna, dokumentirana odluka o obradi rizika pod definiranom ovlašću.

Ovlasti iz politike: tko može odlučiti pod pritiskom?

Mnogi neuspjesi u ransomware situacijama zapravo su neuspjesi upravljanja prikriveni kao tehnički neuspjesi. Netko kontaktira napadača izvan odobrenog kanala. Netko obeća plaćanje prije odobrenja osiguratelja. Netko obnavlja sustave i prepisuje forenzičke dokaze. Netko klijentima kaže prerano, prekasno ili s netočnim činjenicama.

Clarysecove politike osmišljene su za uklanjanje takve nejasnoće.

Za mala i srednja poduzeća, Politika uloga i odgovornosti u upravljanju - SME daje jednostavno pravilo:

“Sve značajne sigurnosne odluke, iznimke i eskalacije moraju biti zabilježene i sljedive.”
Iz odjeljka “Zahtjevi upravljanja”, točka politike 5.5.

SME Politika odgovora na incidente - SME dodjeljuje ovlast za eskalaciju:

“Glavni direktor (GM) odgovoran je za odobravanje svih odluka o eskalaciji incidenata, regulatornih obavijesti i vanjskih komunikacija.”
Iz odjeljka “Zahtjevi upravljanja”, točka politike 5.1.1.

Također povezuje incidente s podacima klijenata s regulatornim obvezama:

“Kada su uključeni podaci klijenata, glavni direktor mora procijeniti zakonske obveze obavješćivanja na temelju primjenjivosti GDPR, NIS2 ili DORA.”
Iz odjeljka “Obrada rizika i iznimke”, točka politike 7.4.1.

Za veće organizacije, korporativna Politika uloga i odgovornosti u upravljanju zahtijeva trenutačnu eskalaciju kada može postojati pravna izloženost ili prijavljive povrede podataka:

“Pravna/regulatorna eskalacija: incidenti koji uključuju moguću pravnu izloženost ili prijavljive povrede podataka moraju se odmah eskalirati službeniku za pravne poslove i usklađenost te izvršnom rukovodstvu.”
Iz odjeljka “Zahtjevi za provedbu politike”, točka politike 6.4.3.

Korporativna Politika odgovora na incidente definira izvršne ovlasti tijekom ozbiljnih incidenata. Točka 4.6.1 navodi da je uloga tima izvršnog rukovodstva:

“Donositi strateške odluke tijekom incidenata visoke ozbiljnosti, uključujući odobravanje obavijesti i javnih komunikacija.”

U kontekstu ransomwarea, Clarysec raspravu o plaćanju, odobrenje pregovora, obavijest klijentima, regulatornu izjavu i javnu komunikaciju tretira kao strateške odluke, a ne tehničke radnje.

Iz toga slijedi praktično pravilo upravljanja: CISO može preporučiti, tim za incident može procijeniti, pravni poslovi mogu savjetovati, financije mogu provjeriti mehaniku plaćanja, osiguratelj može dati suglasnost ili odbiti pokriće, ali izvršno rukovodstvo ili uprava moraju biti vlasnici odluke prema unaprijed definiranim ovlastima.

Eskalacija usklađena sa sankcijskim režimima prije bilo kakvih pregovora

Ransomware postupak usklađen sa sankcijskim režimima počinje zabranom: nijedan zaposlenik, izvođač, dobavljač, posrednik, pregovarač ili osoba zadužena za postupanje s incidentima ne smije pregovarati, obećavati, omogućavati niti prenositi vrijednost akteru prijetnje bez odobrenog pravnog pregleda.

Pravna kontrolna točka mora se dogoditi prije bilo kakvog aktivnog angažmana s napadačem, a ne nakon što se pojavi adresa novčanika. Postupak treba uključivati:

• Uključivanje pravnog savjetnika prije bilo kakve komunikacije izvan pasivnog prikupljanja dokaza.
• Identifikaciju aktera prijetnje koristeći forenzičke, obavještajne i, kada su dostupni, ulazne podatke tijela kaznenog progona.
• Provjeru sankcija i ograničenih strana za nazive skupina, pseudonime, adrese novčanika, infrastrukturu, posrednike i kanale plaćanja.
• Razmatranje i bilježenje konzultacije s tijelima kaznenog progona.
• Obavješćivanje kibernetičkog osiguratelja prema uvjetima police prije imenovanja dobavljača ili ulaska u pregovore.
• Uključivanje DPO-a ili voditelja privatnosti ako osobni podaci mogu biti uključeni.
• Potvrdu financijskog direktora ili voditelja financija o kontrolama plaćanja, razdvajanju dužnosti, provjerama protiv prijevara i zahtjevima odobrenja uprave.
• Zapisivanje izvršne odluke uz razmatranje alternativa, uključujući vraćanje podataka, ograničavanje, obustavu usluge, komunikaciju s klijentima i odbijanje plaćanja.
• Očuvanje dokaza o komunikaciji napadača, pokazateljima, detaljima novčanika, sastancima odlučivanja, odobrenjima i vanjskim savjetima.

Za ransomware, pravni registar trebao bi sadržavati najmanje sljedeće izvore obveza.

Organizacije također trebaju definirati tko može zaustaviti odluku o plaćanju. Pravni poslovi, usklađenost, DPO, savjetnik za sankcije ili uprava trebaju imati izričitu ovlast za pauziranje pregovora ili plaćanja ako je provjera nepotpuna, dokazi nepouzdani, uvjeti osiguratelja nisu ispunjeni ili bi radnja mogla povrijediti zakon ili ugovor.

Očuvanje dokaza: ne uništavajte dokaze dok obnavljate uslugu

Timovi za ransomware prirodno žure obnoviti operacije. Ali ako obnova uništi zapise, snimke, poruke o otkupnini, uzorke zlonamjernog softvera, slike memorije ili poruke napadača, organizacija može izgubiti mogućnost dokazivanja što se dogodilo.

U fazi Kontrole na djelu, korak 23, Organizacijske kontrole, Zenith Blueprint upućuje organizacije da provjere i testiraju sposobnosti upravljanja incidentima definiranjem prijavljivih sigurnosnih događaja, dokumentiranjem donošenja odluka i očuvanjem forenzičkih dokaza. Timovima nalaže da:

“Zabilježe u dnevnik sve odluke, uloge i komunikacije (5.26) te ažuriraju plan naučenim lekcijama (5.27). Potvrde da postoje postupci za očuvanje forenzičkih dokaza (5.28), uključujući snimke zapisa dnevnika, sigurnosne kopije i sigurnu izolaciju pogođenih sustava.”

Isti korak objašnjava A.5.28 jezikom koji svaka uprava razumije:

“ono što možete dokazati važno je jednako koliko i ono što se stvarno dogodilo”

Clarysecova korporativna Politika prikupljanja dokaza i forenzike potvrđuje da dokazi moraju ostati sljedivi:

“Dnevnik lanca nadzora mora pratiti sve fizičke ili digitalne dokaze od trenutka prikupljanja do arhiviranja ili prijenosa te mora dokumentirati:”
Iz odjeljka “Zahtjevi upravljanja”, točka politike 5.6.

Za mala i srednja poduzeća, Politika prikupljanja dokaza i forenzike - SME namjerno je praktična:

“Forenzička kopija ili izvoz uvijek se mora izraditi; izvorni dokaz nikada se ne smije izravno uređivati.”
Iz odjeljka “Zahtjevi za provedbu politike”, točka politike 6.1.1.

Također zahtijeva pravnu konzultaciju kada može postojati utjecaj na HR, pravne poslove ili klijente:

“Ako incident uključuje mogući utjecaj na ljudske resurse (HR), pravne poslove ili klijente, GM se mora savjetovati s pravnim savjetnikom prije nastavka provedbe ili eskalacije.”
Iz odjeljka “Zahtjevi upravljanja”, točka politike 5.4.2.

Praktičan paket dokaza treba otvoriti tijekom Kontrolne točke 2. Izradite ograničenu mapu dokaza za incident. Izvezite SIEM vremenske slijedove, EDR detekcije, revizijske zapise iz oblaka, zapise prijava pružatelja identiteta, status poslova sigurnosnog kopiranja, poruke o otkupnini, snimke zaslona, poruke napadača, adrese novčanika, uzorke datoteka, reference na pravne savjete, korespondenciju s osigurateljem i odluke sa sastanaka. Dodijelite skrbnika. Zabilježite hash vrijednosti gdje je primjereno. Ne dopustite administratorima čišćenje pogođenih sustava prije forenzičkog prikupljanja osim ako to zahtijeva sigurnost života, zaštita kritične usluge ili izvršno odobreno ograničavanje.

Jedan klasifikacijski radni list za NIS2, DORA i GDPR

Ransomware incident može pokrenuti više rokova. Izazov nije samo znati rokove. Izazov je znati kada je organizacija stekla saznanje, što je tada znala i kako su donesene odluke o klasifikaciji.

NIS2 Article 23 zahtijeva od ključnih i važnih subjekata da bez nepotrebnog odgađanja obavijeste CSIRT ili nadležno tijelo o značajnim incidentima. Značajnost je povezana s ozbiljnim operativnim poremećajem, financijskim gubitkom ili znatnom materijalnom ili nematerijalnom štetom za druge. Fazni model uključuje rano upozorenje u roku od 24 sata, obavijest u roku od 72 sata, međuažuriranja ako se zatraže i završno izvješće u roku od mjesec dana od obavijesti o incidentu kada je primjenjivo.

DORA zahtijeva od financijskih subjekata da definiraju i implementiraju upravljanje incidentima povezanima s IKT-om, bilježe incidente i značajne kibernetičke prijetnje, klasificiraju incidente koristeći kriterije kao što su pogođeni klijenti, trajanje, geografska rasprostranjenost, gubitak podataka, kritičnost i ekonomski utjecaj te prijavljuju veće incidente povezane s IKT-om nadležnim tijelima kroz početna, međufazna i završna izvješća.

GDPR postavlja drukčije, ali preklapajuće pitanje: je li incident prouzročio povredu osobnih podataka? Ako jest, je li vjerojatno da će rezultirati rizikom za pojedince? Ako je prag obavješćivanja dosegnut, obavješćivanje nadzornog tijela mora se procijeniti u odnosu na rok od 72 sata. Ako postoji visok rizik, može biti potrebna i komunikacija s pojedincima.

Clarysec preporučuje korištenje jednog klasifikacijskog radnog lista za ransomware s odvojenim odjeljcima za svaki režim.

Ovaj pristup odgovara odredbama ISO 27001 o procjeni rizika, obradi rizika i dokumentiranim informacijama. Također je usklađen s NIST CSF 2.0. Funkcija GOVERN u NIST CSF 2.0 očekuje da organizacije razumiju dionike, pravne i regulatorne obveze, apetit za rizik, uloge, politiku, nadzor i rizik trećih strana. Ishodi otkrivanja, odgovora i oporavka podržavaju proglašenje incidenta, analizu, koordinaciju odgovora, obavješćivanje dionika, provedbu oporavka i provjeru obnove.

Za financijske subjekte DORA može djelovati kao sektorski režim kibernetičke sigurnosti za preklapajuće obveze NIS2, ali to ne uklanja potrebu za razumijevanjem primjenjivosti NIS2 za subjekte grupe, IKT pružatelje, upravljane usluge ili ovisnosti o oblaku. Praktičan odgovor nije održavati odvojene operativne upute. Odgovor je pokrenuti jedan ISMS model dokaza mapiran na sve relevantne obveze.

Kibernetičko osiguranje i koordinacija dobavljača kontrole su upravljanja

Kibernetičko osiguranje može biti vrijedno, ali nije strategija za ransomware. To je mehanizam prijenosa rizika s uvjetima. Tijekom ransomware događaja osiguratelj može zahtijevati trenutačnu obavijest, korištenje pružatelja s odobrene liste, prethodno odobrenje za pregovore, očuvanje dokaza, dokaz neuspjeha sigurnosnih kopija, dokaz razumnih kontrola i pravni pregled prije bilo kakvog razmatranja plaćanja.

DORA čini IKT rizik trećih strana prvorazrednom domenom usklađenosti. NIS2 Article 21 također zahtijeva sigurnost opskrbnog lanca i razmatranje ranjivosti dobavljača i praksi kibernetičke sigurnosti. ISO 27001 podržava istu logiku kroz kontrole dobavljača i oblaka kao što su A.5.19 do A.5.23, uz kontrole incidenata, neprekidnosti i pravnih zahtjeva.

Zenith Controls povezuje pripremu za incidente s vanjskim partnerima, uključujući forenzičke tvrtke, pravne poslove, odnose s javnošću i kontakt s nadležnim tijelima. Iz revizijske perspektive, izostanak unaprijed identificiranih vanjskih partnera može se smatrati prazninom u spremnosti jer može odgoditi odgovor tijekom stvarnog incidenta.

Za upravljanje plaćanjem otkupnine kod ransomwarea Clarysec preporučuje unaprijed ugovoriti:

• Ugovor o forenzičkoj pripravnosti ili uvjete brzog odgovora.
• Dostupnost vanjskog pravnog savjetnika za povredu, sankcije i strategiju povjerljivosti.
• Put obavješćivanja kibernetičkog osiguratelja i popis odobrenih dobavljača.
• Eskalacijski put pružatelja usluga u oblaku za snimke, zapise, izolaciju i oporavak.
• Postupke suradnje za incidente s MSSP-om ili MDR-om.
• Postupak pregleda odnosa s javnošću i kriznih komunikacija.
• Bankovne ili financijske kontrole odobravanja za svako izvanredno plaćanje.
• Protokol kontakta s tijelima kaznenog progona.

To se dobro mapira na ishode opskrbnog lanca u NIST CSF 2.0, uključujući uloge i odgovornosti dobavljača, dubinsku analizu dobavljača, ugovorne zahtjeve kibernetičke sigurnosti, koordinaciju incidenata s dobavljačima i aktivnosti nakon prestanka ugovornog odnosa.

Praktične operativne upute za eskalaciju plaćanja otkupnine kod ransomwarea

Pet kontrolnih točaka može se prevesti u operativne upute. Svaki korak treba biti dokumentiran, imati vlasnika i biti uvježban.

Cilj nije jamčiti ugodnu odluku. Možda ugodne odluke neće biti. Cilj je osigurati da odluka bude autorizirana, utemeljena na dokazima, pravno informirana i dokaziva.

Stolna vježba od 90 minuta koja dokazuje spremnost

Najjednostavniji način testiranja upravljanja plaćanjem otkupnine kod ransomwarea nije tehnička vježba crvenog tima. To je stolna vježba odlučivanja.

Koristite Zenith Blueprint, fazu Kontrole na djelu, korak 23, za provjeru sposobnosti upravljanja incidentima. Odaberite ransomware scenarij i provedite vremenski ograničenu vježbu. Cilj nije unaprijed odlučiti bi li organizacija platila ili nikada ne bi platila. Cilj je dokazati da organizacija može doći do upravljane odluke.

Scenarij: baza podataka klijenata hostirana u oblaku je šifrirana, napadač tvrdi da je izvršio iznošenje podataka, sigurnosne kopije postoje, ali njihova cjelovitost još nije testirana, osiguratelj nije obaviješten, a napadač daje adresu novčanika s rokom od 48 sati.

Kontrolni popis vježbe:

• Proglasiti incident i dodijeliti zapovjednika incidenta.
• Otvoriti dnevnik odluka o ransomwareu.
• Klasificirati događaj koristeći kriterije A.5.25.
• Identificirati pogođenu imovinu i poslovne usluge.
• Utvrditi jesu li uključeni osobni podaci.
• Pokrenuti radne tokove procjene prema GDPR, NIS2, DORA i ugovorima.
• Obavijestiti pravne poslove, DPO-a, izvršno rukovodstvo, osiguratelja i forenzičkog pružatelja usluga.
• Očuvati dokaze prije destruktivnih radnji oporavka.
• Provjeriti cjelovitost sigurnosnih kopija i mogućnosti obnove.
• Provesti provjeru sankcija prije bilo kakvih pregovora.
• Zabilježiti je li potrebna konzultacija s tijelima kaznenog progona.
• Izraditi privremene izjave za klijente i regulatora.
• Predstaviti opcije odluke izvršnom ovlaštenom tijelu.
• Zabilježiti odluku, obrazloženje, neslaganja, odobrenja i sljedeće radnje.
• Zakazati pregled nakon incidenta i radnje poboljšanja kontrola.

Ishod treba biti cjelovit paket dokaza: popis sudionika, vremenski slijed, klasifikacijski radni list, dnevnik odluka, nacrti komunikacija, pravne stavke za djelovanje, stavke za djelovanje osiguratelja, nalazi o sigurnosnim kopijama i naučene lekcije. Taj paket ima visoku revizijsku vrijednost jer pokazuje da upravljanje funkcionira prije stvarne krize.

Kako će revizori i regulatori testirati postupak

Revizori različitih profila ispitat će isti ransomware postupak kroz različite perspektive.

Zenith Controls pruža detaljnu revizijsku metodologiju za A.5.24, A.5.25 i A.5.31. Za A.5.24 revizori pregledavaju plan odgovora na incidente, klasifikacije ozbiljnosti, uloge, popise kontakata, upute za regulatorno izvješćivanje, vježbe i aranžmane s vanjskim partnerima. Za A.5.25 pregledavaju postoje li kriteriji klasifikacije događaja, pokazuju li zapisi obrade upozorenja istragu i odluke o eskalaciji, koriste li se SIEM i obavještajni podaci o prijetnjama te jesu li DPO ili pravni timovi uključeni kada osobni podaci mogu biti pogođeni. Za A.5.31 revizori traže pravne registre, mapiranje usklađenosti, dokaze pregleda, obuhvat interne revizije i izvješćivanje višem rukovodstvu.

Revizijski rizik nije samo to je li organizacija platila ili odbila platiti. Revizijski rizik je da nitko ne može dokazati kako je odluka donesena.

Od iznude do poboljšanja kontrola

Upravljanje ransomwareom ne završava kada se sustavi obnove. ISO 27001 očekuje kontinuirano poboljšanje. A.5.27 učenje iz incidenata informacijske sigurnosti središnje je za to očekivanje. DORA zahtijeva analizu temeljnog uzroka i dodatne kontrole. Završno izvješćivanje prema NIS2 očekuje mjere ublažavanja i vjerojatni temeljni uzrok kada je primjenjivo. Odgovornost prema GDPR-u očekuje dokumentiranje odluka i zaštitnih mjera.

Svaki pregled nakon ransomware incidenta treba odgovoriti na sljedeće:

• Jesu li rokovi izvješćivanja ispravno identificirani?
• Je li ovlast za odlučivanje funkcionirala kako je osmišljeno?
• Jesu li pravni pregled i provjera sankcija provedeni dovoljno rano?
• Je li koordinacija s osigurateljem pomogla ili odgodila odgovor?
• Jesu li sigurnosne kopije bile potpune, odvojene, obnovljive i testirane?
• Jesu li zapisi bili dostatni za procjenu pristupa i iznošenja podataka?
• Jesu li dobavljači odgovorili prema ugovoru?
• Jesu li komunikacije s klijentima bile točne i pravodobne?
• Jesu li izvršni rukovoditelji dobili prave informacije u pravo vrijeme?
• Koje se kontrole, politike, ugovori ili osposobljavanje moraju promijeniti?

Ti odgovori trebaju ažurirati registar rizika, Izjavu o primjenjivosti, plan odgovora na incidente, strategiju sigurnosnog kopiranja, ugovore s dobavljačima, komunikacijski plan i program osposobljavanja.

U fazi Temelji ISMS-a i vodstvo, korak 5, Zenith Blueprint naglašava planiranje vanjske komunikacije, uključujući identificiranje klijenata, regulatora, partnera i javnosti, određivanje što i kada komunicirati te definiranje tko komunicira. Za ransomware taj korak postaje most između tehničkog odgovora i očuvanja povjerenja.

Izgradite zapis odluke prije poruke o otkupnini

Najbolje vrijeme za upravljanje odlukom o otkupnini jest prije nego što napadač postavi rok.

Ako vaše operativne upute za ransomware ne definiraju ovlast odlučivanja, pravni pregled, provjeru sankcija, odobrenje osiguratelja, očuvanje dokaza, klasifikaciju prema NIS2 i DORA, procjenu povrede prema GDPR-u i dokumentaciju na razini uprave, organizacija ima prazninu u upravljanju koja čeka krizu.

Clarysec pomaže organizacijama izgraditi tu sposobnost u ISMS koristeći:

• Zenith Blueprint: revizorov plan u 30 koraka za faznu implementaciju ISO 27001, obradu rizika, planiranje komunikacije i provjeru sposobnosti za incidente.
• Zenith Controls: vodič za međuregulatornu usklađenost za mapiranje kontrola ISO 27001 na NIS2, DORA, GDPR, NIST CSF, COBIT 2019, ISO/IEC 27035, ISO/IEC 27701, ISO/IEC 27005 i revizijske dokaze.
• Clarysec korporativne i SME politike, uključujući Politika odgovora na incidente, Politika odgovora na incidente - SME, Politika prikupljanja dokaza i forenzike, Politika prikupljanja dokaza i forenzike - SME, Politika uloga i odgovornosti u upravljanju, Politika uloga i odgovornosti u upravljanju - SME i Politika upravljanja rizicima.
• Praktične predloške stolnih vježbi za ransomware, dnevnike odluka, matrice pravne eskalacije, pakete dokaza i radne listove za međuregulatorno izvješćivanje.

Ne čekajte poziv u 3 ujutro da otkrijete tko može odlučiti. Pregledajte svoj plan odgovora na incidente u odnosu na Clarysecovih pet kontrolnih točaka, provedite 90-minutnu stolnu vježbu plaćanja otkupnine kod ransomwarea i izgradite zapis odluke usklađen sa sankcijskim režimima i spreman za reviziju, koji može izdržati provjeru regulatora, osiguratelja i vlastite uprave.