Plan reakcji na incydent, który zmieści się na jednej stronie

Plan reakcji na incydent w małej firmie zwykle nie istnieje, bo „u nas się nic nie dzieje”. Kiedy już powstaje, powstaje zwykle jako dokument na kilkadziesiąt stron, którego nikt nie otworzy w momencie, w którym byłby potrzebny.

Pierwsza godzina decyduje o większości kosztów. Nie dlatego, że trzeba w niej wszystko naprawić — dlatego, że w pierwszej godzinie najłatwiej pogorszyć sytuację nieodwracalnie.

Trzy rzeczy, które trzeba wiedzieć przed incydentem

Czego nie kasować

To najważniejszy punkt i najczęściej łamany. Odruch jest zawsze ten sam: skasować podejrzany plik, wyczyścić skrzynkę, sformatować maszynę, żeby „pozbyć się problemu”.

Konsekwencja: znika jedyny materiał, na podstawie którego dałoby się ustalić, co się stało i czy trwa nadal. Bez tego nie wiadomo, czy incydent jest zamknięty, czy tylko niewidoczny.

Nie kasujemy: logów, podejrzanych plików, treści wiadomości, zawartości dysku zajętej maszyny. Nie wyłączamy też zbieranych zdarzeń, żeby „nie zapychały miejsca”.

Co odłączyć, a czego nie wyłączać

Odłączyć od sieci — tak. Kabel, wyłączenie karty bezprzewodowej. To zatrzymuje rozprzestrzenianie i komunikację z zewnątrz.

Wyłączać maszynę — ostrożnie. Wyłączenie kasuje pamięć operacyjną, a w niej bywa jedyny ślad tego, co działało. Przy podejrzeniu poważnego incydentu lepiej odłączyć od sieci i zostawić włączoną.

Wyjątek: jeżeli widać trwające szyfrowanie plików, wyłączenie zasilania ogranicza straty i jest właściwe. To jedyny przypadek, w którym warto działać szybciej niż rozważnie.

Kogo powiadomić i w jakiej kolejności

Lista musi mieć nazwiska i numery telefonów, nie funkcje. „Dział IT” nie jest numerem telefonu.

Szkielet do wypełnienia

Jedna strona, wydrukowana, przy biurku osoby dyżurującej i w serwerowni. Wersja w chmurze nie wystarcza — przy poważnym incydencie chmura może być niedostępna albo niezaufana.

PIERWSZA GODZINA — CO ROBIĘ

1. NIE KASUJĘ NICZEGO
   Żadnych plików, wiadomości, logów. Nie formatuję. Nie „czyszczę”.

2. ODŁĄCZAM OD SIECI
   Kabel wyjęty, Wi-Fi wyłączone. Maszyny NIE wyłączam,
   chyba że widzę trwające szyfrowanie plików.

3. ZAPISUJĘ, CO WIDZIAŁEM
   Godzina, komunikat, co robiłem tuż przedtem. Zdjęcie ekranu telefonem.

4. DZWONIĘ — w tej kolejności:
   [ ] Obsługa IT ......................... imię, telefon
   [ ] Osoba decyzyjna w firmie ........... imię, telefon
   [ ] Dostawca kluczowego systemu ........ nazwa, telefon, numer umowy

5. NIE ODPOWIADAM NA ŻĄDANIE OKUPU
   i nie kontaktuję się z atakującym samodzielnie.

CZEGO NIE ROBIĘ SAM
- nie przywracam z kopii, zanim ktoś nie ustali, czy przyczyna jest usunięta
- nie zmieniam haseł na zajętej maszynie
- nie informuję klientów, zanim nie wiadomo, co się stało

Rzeczy, które łatwo przeoczyć

Kopie zapasowe. Jeżeli podejrzewasz oprogramowanie szyfrujące, sprawdź, czy kopie nie są dostępne z zaatakowanej maszyny — i odłącz je, zanim zostaną objęte. To bywa najpilniejsza czynność w całej pierwszej godzinie.

Hasła. Zmiana haseł z zajętej maszyny oznacza wpisanie nowych haseł tam, gdzie ktoś może je czytać. Zmiany robi się z maszyny czystej.

Odtworzenie z kopii bez ustalenia przyczyny kończy się zwykle powtórką tego samego zdarzenia w ciągu kilku dni.

Termin zgłoszenia naruszenia. Jeżeli incydent obejmuje dane osobowe, przepisy przewidują ograniczony czas na zgłoszenie do organu nadzorczego. Warto mieć w planie zapisane, kto podejmuje tę decyzję i na jakiej podstawie — bo liczy się to od momentu stwierdzenia, a nie od momentu ustalenia szczegółów.

Czego ten plan nie zastępuje

Nie zastępuje dochodzenia powłamaniowego. Przy poważnym incydencie ustalenie, którędy weszli, co zabrali i czy nadal są w środku, to praca dla wyspecjalizowanego zespołu z odpowiednimi narzędziami.

Ten plan ma jedno zadanie: doprowadzić firmę do momentu, w którym taki zespół ma z czym pracować — czyli z zachowanymi śladami, zatrzymanym rozprzestrzenianiem i nietkniętymi kopiami zapasowymi.

To wystarczająco dużo jak na jedną kartkę.