Upravljanje odločitev o plačilu odkupnine pri izsiljevalski programski opremi za NIS2 in DORA

Ura je 3:17 zjutraj na delovni dan leta 2026. Mario, vodjo informacijske varnosti hitro rastoče fintech platforme, v krizni klic pritegne sporočilo vodilnega analitika SOC: potrjeno je obsežno šifriranje, ključne storitve ne delujejo, skupina za izsiljevalsko programsko opremo pa trdi, da je ukradla 2 TB podatkov o strankah.

Prvi se klicu pridruži CEO. Sledijo pravna služba, zasebnost, finance, komunikacije, kibernetska zavarovalnica, forenzični ponudnik in ekipa za operacije v oblaku. Portal na temnem spletu prikazuje 48-urno odštevanje in sedemmestni zahtevek v kriptovaluti.

CEO zastavi vprašanje, ki se ga boji vsak vodja informacijske varnosti.

»Ali lahko plačamo in kdo sme o tem odločiti?«

Napačen odgovor je, da se to obravnava kot pogajalski problem. Pravilen odgovor je, da se to obravnava kot vprašanje upravljanja.

Leta 2026 upravljanje odločitev o plačilu odkupnine pri izsiljevalski programski opremi ni več zasebna, tehnična krizna odločitev. Pregledajo jo lahko regulatorji, presojevalci, zavarovalnice, stranke, organi pregona, delničarji in upravni odbor. Odločitev o plačilu se prepleta z izpostavljenostjo sankcijam, oceno kršitve varnosti osebnih podatkov, pogoji kibernetskega zavarovanja, pogodbenimi obveznostmi, kriznim komuniciranjem, ohranjanjem dokazil, faznim poročanjem po NIS2, razvrstitvijo incidenta po DORA, obveščanjem po GDPR in izboljšavami po incidentu.

Zato Clarysec strankam svetuje, naj upravljanje odločitev o plačilu odkupnine pri izsiljevalski programski opremi vgradijo v ISMS pred incidentom. ISO/IEC 27001:2022 zagotavlja strukturo sistema upravljanja. Kontrole ISO/IEC 27002:2022 zagotavljajo operativni model. Zenith Blueprint: 30-koračni načrt presojevalca in Zenith Controls: vodnik za navzkrižno skladnost pomagata to strukturo pretvoriti v praktična, preverljiva dokazila.

Priročnik za odziv na izsiljevalsko programsko opremo, ki pravi le »obvesti pravno službo«, ni dovolj. Organizacija mora vedeti, kdo lahko odobri pogajanja, kako se izvaja preverjanje sankcij, kdaj je potrebna odobritev zavarovalnice, kako se dokumentira razvrstitev po GDPR, NIS2 in DORA ter kako se dokazila zaščitijo, medtem ko ekipe za obnovitev delujejo pod pritiskom.

Zakaj ad hoc odločitve o plačilu odkupnine pri izsiljevalski programski opremi odpovedo

Odločitev o plačilu odkupnine pri izsiljevalski programski opremi se pogosto opisuje kot binarna: plačati ali ne plačati. V resnici ima odločitev vsaj šest plasti:

1. Ali je dogodek potrjen, zajezen in pravilno razvrščen?
2. Ali so prizadeti osebni podatki, regulirani podatki ali izvajanje kritične storitve?
3. Ali je organizaciji pravno dovoljeno komunicirati ali izvesti transakcijo z akterjem grožnje?
4. Ali kibernetsko zavarovanje zahteva predhodno obvestilo, odobrene dobavitelje, soglasje ali posebna dokazila?
5. Ali bi plačilo zmanjšalo vpliv na poslovanje ali povečalo pravno, finančno in ugledno tveganje?
6. Kdo ima pooblastilo za odločitev in kako se ta odločitev evidentira?

Med aktivnim incidentom nepovezane ekipe pogosto vlečejo v različne smeri. CFO lahko odkupnino vidi kot poslovni strošek v primerjavi z naraščajočim izpadom. Pravna služba vidi sankcije, finančni kriminal in regulativno izpostavljenost. DPO presoja, ali šifrirani ali odtujeni podatki pomenijo prijavljivo kršitev varnosti osebnih podatkov. Funkcija skladnosti spremlja roke poročanja po NIS2 in DORA. Vodja informacijske varnosti poskuša ohraniti dokazila in hkrati obnoviti storitve. CEO želi priporočilo, preden se izteče napadalčev časovnik.

Brez formalnega postopka odločanja lahko najglasnejši glas v prostoru postane model upravljanja. Prav takšno situacijo sodobna regulacija kibernetske varnosti poskuša preprečiti.

NIS2 določa, da je kibernetska varnost odgovornost vodstva. Article 20 obravnava upravljanje in odgovornost organov vodenja, Article 21 pa zahteva ukrepe za obvladovanje tveganj, ki zajemajo obravnavanje incidentov, neprekinjeno poslovanje, upravljanje varnostnega kopiranja, krizno upravljanje, varnost dobavne verige, nadzor dostopa, upravljanje sredstev, MFA in oceno učinkovitosti. Article 23 uvaja fazno poročanje o pomembnih incidentih, vključno z zgodnjim opozorilom v 24 urah, obvestilom v 72 urah in končnim poročilom v enem mesecu, kadar je to primerno.

Za finančne subjekte je DORA sektorski pravilnik operativne odpornosti. Article 5 odgovornost za upravljanje tveganj IKT nalaga organu vodenja. Articles 17, 18 in 19 obravnavajo upravljanje incidentov, povezanih z IKT, razvrščanje in poročanje o večjih incidentih, povezanih z IKT. DORA zahteva tudi zmožnosti odziva in obnovitve, varnostno kopiranje in obnovitev, učenje po incidentu, testiranje ter upravljanje tveganj tretjih oseb na področju IKT.

GDPR dodaja ločeno, vendar prekrivajočo se presojo. Če izsiljevalska programska oprema povzroči nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do osebnih podatkov, mora upravljavec presoditi, ali je prišlo do kršitve varnosti osebnih podatkov. Če je obvestilo potrebno, rok za nadzorni organ praviloma teče 72 ur od seznanitve. Če obstaja veliko tveganje za posameznike, je lahko potrebno tudi obveščanje prizadetih posameznikov.

Sklep je preprost: vprašanje odkupnine se ne sme prvič zastaviti v krizni sobi.

Kontrole ISO 27001:2022, ki podpirajo upravljanje plačila

ISMS po ISO/IEC 27001:2022 ni kontrolni seznam za presojevalce. Je sistem upravljanja za odločanje na podlagi tveganj. Upravljanje plačila odkupnine pri izsiljevalski programski opremi sodi v ta sistem, ker združuje oceno tveganja, obravnavo tveganja, vloge, zakonske obveznosti, odziv na incidente, neprekinjeno poslovanje, upravljanje dobaviteljev in nenehno izboljševanje.

Najpomembnejše kontrole iz Priloge A ISO 27001:2022 tvorijo povezano verigo kontrol.

V Zenith Controls razdelek za A.5.24, načrtovanje in priprava upravljanja incidentov informacijske varnosti, kontrolo razvršča kot korektivno, povezano z zaupnostjo, celovitostjo in razpoložljivostjo ter usklajeno s konceptoma odziva in obnovitve. A.5.24 povezuje tudi z A.5.25 presojo dogodkov, A.5.27 učenjem iz incidentov, A.8.15 beleženjem, A.8.16 spremljanjem, A.5.29 varnostjo med motnjo, neprekinjenim poslovanjem in stikom z organi.

To je pomembno, ker je upravljanje plačila odkupnine pri izsiljevalski programski opremi veriga. Če dogodka ne morete zaznati in razvrstiti, ne morete odločati. Če ne morete ohraniti dokazil, odločitve ne morete zagovarjati. Če zakonske obveznosti niso preslikane, so pogajanja ali plačilo lahko nezakoniti. Če možnosti obnovitve niso testirane, je izvršno vodstvo lahko potisnjeno v odločitev na podlagi strahu namesto dejstev.

Zenith Controls jasno opiše razmerje med pripravo in odločanjem:

“5.25 je točka odločanja, ki določa, kdaj dogodek preseže prag in postane varnostni incident, s čimer se sprožijo ukrepi iz 5.26. Pravočasna in natančna presoja dogodka zagotavlja, da odziv na incident ni niti zakasnjen niti napačno usmerjen.”

Isti vodnik povezuje A.5.31, zakonske, statutarne, regulativne in pogodbene zahteve, z zasebnostjo, hrambo zapisov, neodvisnim pregledom in skladnostjo z notranjimi politikami. Pri izsiljevalski programski opremi je A.5.31 mesto, kjer se preverjanje sankcij, zavarovalne obveznosti, sodelovanje z organi pregona, pogodbe s strankami, obveznosti varstva podatkov in sektorsko regulativno poročanje zajamejo v eno evidenco skladnosti.

Clarysecov petstopenjski model upravljanja plačila odkupnine pri izsiljevalski programski opremi

Clarysecov model upravljanje odločitev o plačilu odkupnine pri izsiljevalski programski opremi razdeli na pet kontrolnih vrat. Namen ni olajšati plačila. Namen je zagotoviti, da je vsaka odločitev, vključno z zavrnitvijo plačila, utemeljena na dokazilih, pravno pregledana, odobrena in primerna za presojo.

Ta model uporablja logiko obravnave tveganj po ISO 27001. Plačilo odkupnine pri izsiljevalski programski opremi ni varnostna kontrola. Je kvečjemu krizna možnost, obravnavana v okviru obravnave tveganj in obnovitve. Organizacija bi morala že pred incidentom odločiti, kako obravnava tveganja izsiljevalske programske opreme: zmanjšati jih s kontrolami, del finančne izpostavljenosti prenesti z zavarovanjem, se izogniti nesprejemljivim odvisnostim od zastarelih sistemov ali izrecno sprejeti preostalo tveganje, kadar je to upravičeno.

V fazi upravljanja tveganj, korak 13, načrtovanje obravnave tveganj in izjava o uporabnosti, Zenith Blueprint organizacijam naroča, naj za vsako tveganje določijo možnosti obravnave in jih dokumentirajo v registru tveganj. Opozarja, da prenos, kot je kibernetsko zavarovanje, ne odpravlja potrebe po kontrolah, ker prenos pogosto obravnava finančni vpliv, ne pa verjetnosti. Navaja tudi:

“Sprejem mora biti izrecen in odobren s strani vodstva, zlasti za vsa srednja tveganja. Visoka tveganja se redko sprejmejo, razen če so resnično neizogibna in dogovorjena na najvišji ravni.”

Ta stavek je neposredno relevanten za upravljanje plačila odkupnine pri izsiljevalski programski opremi. Če se od upravnega odbora zahteva sprejem preostalega tveganja zavrnitve plačila ali pravnega in uglednega tveganja zaradi odobritve pogajanj, mora biti sprejem izrecen, evidentiran in odobren s strani pristojnega organa.

Clarysecova Politika upravljanja tveganj potrjuje isto izhodišče:

“Odločitve o obravnavi tveganj morajo biti usklajene z vnaprej določenimi možnostmi” Iz klavzule 5.5.

Odločitev o odkupnini zato ni bližnjica mimo upravljanja tveganj. Obravnavati jo je treba kot formalno, dokumentirano odločitev o obravnavi tveganja v okviru določenih pooblastil.

Pooblastila v politiki: kdo lahko odloča pod pritiskom?

Številni neuspehi pri izsiljevalski programski opremi so neuspehi upravljanja, prikriti kot tehnične napake. Nekdo stopi v stik z napadalcem zunaj odobrenega kanala. Nekdo obljubi plačilo pred odobritvijo zavarovalnice. Nekdo obnovi sisteme in prepiše forenzične dokaze. Nekdo stranke obvesti prezgodaj, prepozno ali z netočnimi dejstvi.

Politike Clarysec so zasnovane tako, da odpravijo to dvoumnost.

Za MSP Politika vlog in odgovornosti upravljanja za MSP določa preprosto pravilo:

“Vse pomembne varnostne odločitve, izjeme in eskalacije morajo biti evidentirane in sledljive.” Iz razdelka “Zahteve upravljanja”, klavzula politike 5.5.

Politika odzivanja na incidente za MSP za MSP dodeljuje pooblastilo za eskalacijo:

“Generalni direktor (GM) je odgovoren za odobritev vseh odločitev o eskalaciji incidentov, regulativnih obvestil in zunanjega komuniciranja.” Iz razdelka “Zahteve upravljanja”, klavzula politike 5.1.1.

Povezuje tudi incidente s podatki strank z regulativnimi obveznostmi:

“Kadar so vključeni podatki strank, mora generalni direktor oceniti zakonske obveznosti obveščanja glede na uporabljivost GDPR, NIS2 ali DORA.” Iz razdelka “Obravnava tveganj in izjeme”, klavzula politike 7.4.1.

Za večje organizacije Politika vlog in odgovornosti upravljanja zahteva takojšnjo eskalacijo, kadar lahko obstaja pravna izpostavljenost ali prijavljive kršitve podatkov:

“Pravna/regulativna eskalacija: incidenti, ki vključujejo morebitno pravno izpostavljenost ali prijavljive kršitve podatkov, se morajo nemudoma eskalirati pravni službi in funkciji skladnosti ter izvršnemu vodstvu.” Iz razdelka “Zahteve za izvajanje politike”, klavzula politike 6.4.3.

Politika odzivanja na incidente za večje organizacije določa izvršno pooblastilo med hudimi incidenti. Klavzula 4.6.1 določa, da je vloga ekipe izvršnega vodstva:

“Sprejemati strateške odločitve med incidenti visoke resnosti, vključno z odobritvijo obvestil in javnega komuniciranja.”

V kontekstu izsiljevalske programske opreme Clarysec obravnava razpravo o plačilu, odobritev pogajanj, obvestilo strankam, regulativno izjavo in javno komuniciranje kot strateške odločitve, ne kot tehnična dejanja.

Iz tega sledi praktično pravilo upravljanja: vodja informacijske varnosti lahko priporoča, ekipa za incidente lahko presoja, pravna služba lahko svetuje, finance lahko preverijo plačilne mehanizme, zavarovalnica lahko soglaša ali zavrne kritje, vendar mora odločitev glede na vnaprej določena pooblastila pripadati izvršnemu vodstvu ali upravnemu odboru.

Eskalacija, skladna s sankcijskimi omejitvami, pred kakršnimi koli pogajanji

Proces za izsiljevalsko programsko opremo, skladen s sankcijskimi omejitvami, se začne s prepovedjo: noben zaposleni, pogodbeni izvajalec, dobavitelj, posrednik, pogajalec ali član ekipe za odzivanje na incidente ne sme pogajati, obljubiti, omogočiti ali prenesti vrednosti akterju grožnje brez odobrenega pravnega pregleda.

Pravna kontrolna točka mora nastopiti pred vsakim aktivnim stikom z napadalcem, ne šele po tem, ko se pojavi naslov denarnice. Proces mora vključevati:

• Vključitev pravnega svetovalca pred kakršno koli komunikacijo, ki presega pasivno zajemanje dokazil.
• Identifikacijo akterja grožnje z uporabo forenzičnih, obveščevalnih in, kjer so na voljo, informacij organov pregona.
• Preverjanje sankcij in omejenih strank za imena skupin, vzdevke, naslove denarnic, infrastrukturo, posrednike in plačilne kanale.
• Obravnavo in evidentiranje posvetovanja z organi pregona.
• Obveščanje kibernetske zavarovalnice skladno s pogoji police pred imenovanjem dobaviteljev ali začetkom pogajanj.
• Vključitev DPO ali vodje zasebnosti, če so lahko vključeni osebni podatki.
• Potrditev plačilnih kontrol, ločevanja dolžnosti, preverjanj proti goljufijam in zahtev za odobritev upravnega odbora s strani CFO ali finančnega vodje.
• Evidentiranje izvršne odločitve z obravnavanimi alternativami, vključno z obnovitvijo, zajezitvijo, začasno ustavitvijo storitve, komunikacijo s strankami in zavrnitvijo plačila.
• Ohranjanje dokazil o komunikaciji z napadalcem, kazalnikih, podrobnostih denarnice, sestankih odločanja, odobritvah in zunanjih nasvetih.

Pri izsiljevalski programski opremi mora pravna evidenca vključevati najmanj naslednje vire obveznosti.

Organizacije morajo določiti tudi, kdo lahko zaustavi odločanje o plačilu. Pravna služba, funkcija skladnosti, DPO, svetovalec za sankcije ali upravni odbor morajo imeti izrecno pooblastilo, da začasno ustavijo pogajanja ali plačilo, če je preverjanje nepopolno, dokazila nezanesljiva, pogoji zavarovalnice neizpolnjeni ali bi dejanje lahko kršilo zakon ali pogodbo.

Ohranjanje dokazil: med obnovo storitve ne uničite dokazov

Ekipe pri incidentih izsiljevalske programske opreme naravno hitijo z obnovitvijo poslovanja. Toda če obnovitev uniči dnevnike, posnetke, obvestila o odkupnini, vzorce zlonamerne programske opreme, slike pomnilnika ali sporočila napadalca, lahko organizacija izgubi zmožnost dokazati, kaj se je zgodilo.

V fazi Kontrole v praksi, korak 23, organizacijski ukrepi, Zenith Blueprint organizacijam nalaga, naj validirajo in testirajo zmožnosti upravljanja incidentov z opredelitvijo prijavljivih varnostnih dogodkov, dokumentiranjem odločanja in ohranjanjem forenzičnih dokazov. Ekipam naroča, naj:

“Zajamejo in evidentirajo vse odločitve, vloge in komunikacije (5.26) ter posodobijo načrt s pridobljenimi izkušnjami (5.27). Potrdijo, da so vzpostavljeni postopki za ohranjanje forenzičnih dokazov (5.28), vključno s posnetki dnevnikov, varnostnimi kopijami in varno izolacijo prizadetih sistemov.”

Isti korak A.5.28 pojasni z jezikom, ki ga razume vsak upravni odbor:

“to, kar lahko dokažete, je enako pomembno kot to, kar se je dejansko zgodilo”

Clarysecova Politika zbiranja dokazov in forenzike za večje organizacije poudarja, da morajo dokazila ostati sledljiva:

“Zapis verige skrbništva mora spremljati vse fizične ali digitalne dokaze od trenutka pridobitve do arhiviranja ali prenosa in mora dokumentirati:” Iz razdelka “Zahteve upravljanja”, klavzula politike 5.6.

Za MSP je Politika zbiranja dokazov in forenzike za MSP namerno praktična:

“Forenzična kopija ali izvoz mora biti vedno ustvarjen; izvirnega dokaza se nikoli ne sme neposredno urejati.” Iz razdelka “Zahteve za izvajanje politike”, klavzula politike 6.1.1.

Zahteva tudi pravno posvetovanje, kadar lahko obstaja kadrovski, pravni vpliv ali vpliv na stranke:

“Če incident vključuje morebiten vpliv na kadrovsko področje (HR), pravni vpliv ali vpliv na stranke, se mora generalni direktor pred nadaljevanjem uveljavljanja ukrepov ali eskalacijo posvetovati s pravnim svetovalcem.” Iz razdelka “Zahteve upravljanja”, klavzula politike 5.4.2.

Praktičen paket dokazil je treba odpreti med vrati 2. Ustvarite omejeno mapo dokazil incidenta. Izvozite časovnice SIEM, zaznave EDR, revizijske dnevnike v oblaku, prijavne dnevnike ponudnika identitet, stanje opravil varnostnega kopiranja, obvestila o odkupnini, posnetke zaslona, sporočila napadalca, naslove denarnic, vzorce datotek, sklice na pravno svetovanje, korespondenco z zavarovalnico in odločitve s sestankov. Dodelite skrbnika. Po potrebi evidentirajte zgoščene vrednosti. Administratorjem ne dovolite čiščenja prizadetih sistemov pred forenzičnim zajemom, razen če to zahtevajo varnost življenja, zaščita kritične storitve ali zajezitev, ki jo je odobrilo izvršno vodstvo.

En klasifikacijski delovni list za NIS2, DORA in GDPR

Incident izsiljevalske programske opreme lahko sproži več rokov. Izziv ni le poznavanje rokov. Izziv je vedeti, kdaj se je organizacija seznanila z incidentom, kaj je takrat vedela in kako so bile sprejete odločitve o razvrstitvi.

NIS2 Article 23 od bistvenih in pomembnih subjektov zahteva, da CSIRT ali pristojni organ brez nepotrebnega odlašanja obvestijo o pomembnih incidentih. Pomembnost je povezana s hudo operativno motnjo, finančno izgubo ali znatno materialno ali nematerialno škodo za druge. Fazni model vključuje zgodnje opozorilo v 24 urah, obvestilo v 72 urah, vmesne posodobitve, če so zahtevane, in končno poročilo v enem mesecu od obvestila o incidentu, kjer je primerno.

DORA od finančnih subjektov zahteva, da opredelijo in izvajajo upravljanje incidentov, povezanih z IKT, evidentirajo incidente in pomembne kibernetske grožnje, razvrščajo incidente po merilih, kot so prizadete stranke, trajanje, geografska razširjenost, izguba podatkov, kritičnost in ekonomski vpliv, ter pristojnim organom poročajo o večjih incidentih, povezanih z IKT, z začetnimi, vmesnimi in končnimi poročili.

GDPR postavlja drugačno, vendar prekrivajoče se vprašanje: ali je incident povzročil kršitev varnosti osebnih podatkov? Če jo je, ali je verjetno, da bo povzročila tveganje za posameznike? Če je prag za obvestilo dosežen, je treba obvestilo nadzornemu organu presoditi glede na 72-urni rok. Če obstaja veliko tveganje, je lahko potrebno tudi obveščanje posameznikov.

Clarysec priporoča uporabo enotnega klasifikacijskega delovnega lista za izsiljevalsko programsko opremo z ločenimi razdelki za vsak režim.

Ta pristop ustreza klavzulam ISO 27001 o oceni tveganja, obravnavi tveganja in dokumentiranih informacijah. Usklajen je tudi z NIST CSF 2.0. Funkcija GOVERN v NIST CSF 2.0 pričakuje, da organizacije razumejo zainteresirane strani, zakonske in regulativne obveznosti, apetit po tveganju, vloge, politike, nadzor in tveganja tretjih oseb. Njeni rezultati na področjih zaznavanja, odziva in obnovitve podpirajo razglasitev incidenta, analizo, usklajevanje odziva, obveščanje zainteresiranih strani, izvajanje obnovitve in preverjanje obnovitve.

Za finančne subjekte lahko DORA deluje kot sektorski režim kibernetske varnosti za prekrivajoče se obveznosti NIS2, vendar to ne odpravlja potrebe po razumevanju uporabljivosti NIS2 za subjekte v skupini, ponudnike IKT, upravljane storitve ali odvisnosti od storitev v oblaku. Praktičen odgovor ni vzdrževanje ločenih priročnikov. Praktičen odgovor je en model dokazil ISMS, preslikan na vse relevantne obveznosti.

Kibernetsko zavarovanje in usklajevanje z dobavitelji sta kontroli upravljanja

Kibernetsko zavarovanje je lahko dragoceno, vendar ni strategija za izsiljevalsko programsko opremo. Je mehanizem prenosa tveganja s pogoji. Med dogodkom izsiljevalske programske opreme lahko zavarovalnica zahteva takojšnje obvestilo, uporabo ponudnikov s seznama zavarovalnice, predhodno odobritev pogajanj, ohranjanje dokazil, dokaz o odpovedi varnostnih kopij, dokaz o razumnih kontrolah in pravni pregled pred kakršno koli obravnavo plačila.

DORA tveganje tretjih oseb na področju IKT postavlja kot prvovrstno področje skladnosti. NIS2 Article 21 zahteva tudi varnost dobavne verige in upoštevanje ranljivosti dobaviteljev ter njihovih praks kibernetske varnosti. ISO 27001 podpira isto logiko prek kontrol za dobavitelje in oblak, kot so A.5.19 do A.5.23, skupaj s kontrolami incidentov, neprekinjenega poslovanja in pravnimi kontrolami.

Zenith Controls povezuje pripravo na incidente z zunanjimi partnerji, vključno s forenzičnimi podjetji, pravno službo, PR in stikom z organi. Z vidika presoje se lahko odsotnost vnaprej določenih zunanjih partnerjev obravnava kot vrzel v pripravljenosti, ker lahko med dejanskim incidentom zakasni odziv.

Za upravljanje plačila odkupnine pri izsiljevalski programski opremi Clarysec priporoča vnaprejšnjo ureditev:

• Pogodbe o pripravljenosti forenzičnega ponudnika ali pogojev hitrega odziva.
• Razpoložljivosti zunanjega pravnega svetovalca za kršitve, sankcije in strategijo privilegiranosti.
• Poti obveščanja kibernetske zavarovalnice in seznama odobrenih dobaviteljev.
• Eskalacijske poti ponudnika oblaka za posnetke, dnevnike, izolacijo in obnovitev.
• Postopkov sodelovanja pri incidentih z MSSP ali MDR.
• Postopka pregleda PR in kriznega komuniciranja.
• Bančnih ali finančnih odobritvenih kontrol za vsako izredno plačilo.
• Protokola za stik z organi pregona.

To se dobro preslika na rezultate NIST CSF 2.0 za dobavno verigo, vključno z vlogami in odgovornostmi dobaviteljev, skrbnim pregledom, pogodbenimi zahtevami kibernetske varnosti, usklajevanjem dobaviteljev pri incidentih in dejavnostmi po prenehanju.

Praktičen priročnik za eskalacijo plačila odkupnine pri izsiljevalski programski opremi

Pet vrat je mogoče prevesti v operativni priročnik. Vsak korak mora biti dokumentiran, imeti lastnika in biti izvajan v vajah.

Cilj ni zagotoviti udobne odločitve. Morda udobne odločitve sploh ni. Cilj je zagotoviti, da je odločitev odobrena, utemeljena na dokazilih, pravno informirana in zagovorljiva.

90-minutna namizna vaja, ki dokaže pripravljenost

Najpreprostejši način za testiranje upravljanja plačila odkupnine pri izsiljevalski programski opremi ni tehnična vaja red team. To je namizna vaja odločanja.

Uporabite Zenith Blueprint, fazo Kontrole v praksi, korak 23, za validacijo zmožnosti upravljanja incidentov. Izberite scenarij izsiljevalske programske opreme in izvedite časovno omejeno vajo. Cilj ni vnaprej odločiti, da bi organizacija plačala ali nikoli plačala. Cilj je dokazati, da lahko organizacija pride do upravljane odločitve.

Scenarij: v oblaku gostovana podatkovna baza strank je šifrirana, napadalec trdi, da je podatke odtujil, varnostne kopije obstajajo, vendar njihova celovitost še ni testirana, zavarovalnica ni bila obveščena, napadalec pa zagotovi naslov denarnice z 48-urnim rokom.

Kontrolni seznam vaje:

• Razglasite incident in dodelite vodjo incidenta.
• Odprite dnevnik odločanja o izsiljevalski programski opremi.
• Razvrstite dogodek z merili A.5.25.
• Identificirajte prizadeta sredstva in poslovne storitve.
• Ugotovite, ali so vključeni osebni podatki.
• Sprožite delovne tokove presoje po GDPR, NIS2, DORA in pogodbah.
• Obvestite pravno službo, DPO, izvršno vodstvo, zavarovalnico in forenzičnega ponudnika.
• Ohranite dokazila pred destruktivnimi dejanji obnovitve.
• Preverite celovitost varnostnih kopij in možnosti obnovitve.
• Izvedite preverjanje sankcij pred kakršnimi koli pogajanji.
• Evidentirajte, ali je potrebno posvetovanje z organi pregona.
• Pripravite začetne izjave za stranke in regulatorje.
• Predstavite možnosti odločanja izvršnemu organu.
• Evidentirajte odločitev, utemeljitev, nestrinjanja, odobritve in naslednje ukrepe.
• Načrtujte pregled po incidentu in ukrepe za izboljšanje kontrol.

Izhod mora biti popoln sveženj dokazil: seznam udeležencev, časovnica, klasifikacijski delovni list, dnevnik odločanja, osnutki komunikacij, pravne naloge, naloge za zavarovalnico, ugotovitve o varnostnih kopijah in pridobljene izkušnje. Tak sveženj je revizijsko zlato, ker prikazuje delovanje upravljanja pred resnično krizo.

Kako bodo presojevalci in regulatorji testirali proces

Presojevalci z različnih področij bodo isti proces za izsiljevalsko programsko opremo pregledovali skozi različne vidike.

Zenith Controls zagotavlja podrobno revizijsko metodologijo za A.5.24, A.5.25 in A.5.31. Pri A.5.24 presojevalci preverijo načrt odzivanja na incidente, razvrstitve resnosti, vloge, sezname kontaktov, navodila za regulativno poročanje, vaje in ureditve z zunanjimi partnerji. Pri A.5.25 pregledajo, ali obstajajo merila razvrščanja dogodkov, ali zapisi obravnave opozoril izkazujejo preiskavo in odločitve o eskalaciji, ali se uporabljajo SIEM in obveščevalni podatki o grožnjah ter ali so vključene ekipe DPO ali pravne službe, kadar so lahko prizadeti osebni podatki. Pri A.5.31 presojevalci iščejo pravne evidence, preslikavo skladnosti, dokazila o pregledu, pokritost notranje revizije in poročanje višjemu vodstvu.

Revizijsko tveganje ni le v tem, da je organizacija plačala ali zavrnila plačilo. Revizijsko tveganje je, da nihče ne more dokazati, kako je bila odločitev sprejeta.

Od izsiljevanja do izboljšanja kontrol

Upravljanje izsiljevalske programske opreme se ne konča, ko so sistemi obnovljeni. ISO 27001 pričakuje nenehno izboljševanje. A.5.27 učenje iz incidentov informacijske varnosti je osrednji del tega pričakovanja. DORA zahteva analizo temeljnega vzroka in dodatne kontrole. Končno poročanje po NIS2 pričakuje omilitvene ukrepe in verjeten temeljni vzrok, kjer je primerno. Odgovornost po GDPR pričakuje dokumentacijo odločitev in varovalnih ukrepov.

Vsak pregled po incidentu izsiljevalske programske opreme mora odgovoriti:

• Ali so bili roki poročanja pravilno identificirani?
• Ali je pooblastilo za odločanje delovalo, kot je bilo zasnovano?
• Ali sta bila pravni pregled in pregled sankcij dovolj zgodnja?
• Ali je usklajevanje z zavarovalnico pomagalo ali upočasnilo odziv?
• Ali so bile varnostne kopije popolne, ločene, obnovljive in testirane?
• Ali so bili dnevniki zadostni za presojo dostopa in odnašanja podatkov?
• Ali so se dobavitelji odzivali skladno s pogodbo?
• Ali so bile komunikacije s strankami točne in pravočasne?
• Ali je izvršno vodstvo prejelo prave informacije ob pravem času?
• Katere kontrole, politike, pogodbe ali usposabljanja je treba spremeniti?

Ti odgovori morajo posodobiti register tveganj, izjavo o uporabnosti, načrt odzivanja na incidente, strategijo varnostnega kopiranja, pogodbe z dobavitelji, komunikacijski načrt in program usposabljanja.

V fazi temeljev in vodenja ISMS, korak 5, Zenith Blueprint poudarja načrtovanje zunanjega komuniciranja, vključno z identifikacijo strank, regulatorjev, partnerjev in javnosti, določanjem, kaj in kdaj komunicirati, ter opredelitvijo, kdo komunicira. Pri izsiljevalski programski opremi ta korak postane most med tehničnim odzivom in ohranjanjem zaupanja.

Zapis odločitve pripravite pred obvestilom o odkupnini

Najboljši čas za upravljanje odločitve o odkupnini je, preden napadalec postavi rok.

Če vaš priročnik za izsiljevalsko programsko opremo ne določa pooblastila za odločanje, pravnega pregleda, preverjanja sankcij, odobritve zavarovalnice, ohranjanja dokazil, razvrstitve po NIS2 in DORA, ocene kršitve po GDPR in dokumentacije na ravni upravnega odbora, ima organizacija vrzel v upravljanju, ki čaka na krizo.

Clarysec organizacijam pomaga to zmožnost vgraditi v ISMS z uporabo:

• Zenith Blueprint: 30-koračni načrt presojevalca za fazno implementacijo ISO 27001, obravnavo tveganja, načrtovanje komunikacij in validacijo zmožnosti obravnave incidentov.
• Zenith Controls: vodnik za navzkrižno skladnost za preslikavo kontrol ISO 27001 na NIS2, DORA, GDPR, NIST CSF, COBIT 2019, ISO/IEC 27035, ISO/IEC 27701, ISO/IEC 27005 in revizijska dokazila.
• Politike Clarysec za večje organizacije in MSP, vključno s Politiko odzivanja na incidente, Politiko odzivanja na incidente za MSP, Politiko zbiranja dokazov in forenzike, Politiko zbiranja dokazov in forenzike za MSP, Politiko vlog in odgovornosti upravljanja, Politiko vlog in odgovornosti upravljanja za MSP in Politiko upravljanja tveganj.
• Praktične predloge namiznih vaj za izsiljevalsko programsko opremo, dnevnike odločanja, matrike pravne eskalacije, pakete dokazil in delovne liste za poročanje o navzkrižni skladnosti.

Ne čakajte na klic ob 3. uri zjutraj, da ugotovite, kdo lahko odloči. Preglejte svoj načrt odzivanja na incidente glede na Clarysecovih pet vrat, izvedite 90-minutno namizno vajo o plačilu odkupnine pri izsiljevalski programski opremi in vzpostavite zapis odločanja, skladen s sankcijskimi omejitvami in pripravljen na presojo, ki vzdrži pregled regulatorjev, zavarovalnic in vašega upravnega odbora.