Pracownicy tracą dostęp do dokumentów, system obsługi klientów przestaje odpowiadać, a na ekranach pojawia się żądanie okupu. W ciągu kilku minut problem informatyczny staje się kryzysem całego przedsiębiorstwa. Zagrożone są realizacja zamówień, terminowość usług, bezpieczeństwo danych i relacje z kontrahentami. Pierwsza godzina po wykryciu ransomware powinna służyć ograniczeniu zasięgu ataku, uruchomieniu zarządzania kryzysowego i zabezpieczeniu najważniejszych procesów biznesowych. Właśnie wtedy plan ciągłości działania pokazuje swoją rzeczywistą wartość.
BCP po ransomware – firma musi działać, gdy systemy zawodzą
Plan ciągłości działania, czyli BCP – Business Continuity Plan – określa sposób utrzymania lub wznowienia najważniejszych procesów organizacji w warunkach zakłócenia. W przypadku ransomware obejmuje znacznie więcej niż przywrócenie dostępu do plików. Pomaga ustalić, które usługi trzeba podtrzymać, jakie działania można czasowo zawiesić oraz kto podejmuje decyzje o pracy w trybie awaryjnym.
Warto rozróżnić trzy współpracujące elementy. Procedury reagowania na incydent służą rozpoznaniu zagrożenia, ograniczeniu jego zasięgu i usunięciu przyczyn. Plan odtwarzania środowiska IT opisuje przywracanie systemów oraz danych. BCP skupia się na funkcjonowaniu przedsiębiorstwa podczas zakłócenia i odbudowy.
Dla firmy logistycznej pytanie brzmi więc nie tylko: „Kiedy uruchomimy serwer?”, lecz także: „Czy możemy bezpiecznie realizować wysyłki i potwierdzać odbiór towaru?”. Organizator szkoleń musi ustalić, czy przeprowadzi zaplanowane zajęcia, jak skontaktuje się z uczestnikami i skąd uzyska wiarygodną listę zapisów.
Celem pierwszych 60 minut jest uzyskanie kontroli nad reakcją organizacji. Pełne odtworzenie działalności może wymagać znacznie więcej czasu.
Przedstawiony harmonogram jest przykładowym porządkiem działań liczonym od wykrycia zdarzenia. Poszczególne zadania powinny przebiegać równolegle. Nie należy czekać do wskazanej minuty z izolacją zainfekowanego urządzenia czy wezwaniem wsparcia. Kolejność trzeba dostosować do skali ataku, dostępnego zespołu i wpływu incydentu na bezpieczeństwo ludzi.
Minuty 0–10 – zgłoś incydent i ogranicz rozprzestrzenianie
Pierwszy sygnał nie zawsze przyjmuje postać komunikatu z żądaniem okupu. Może nim być masowa zmiana nazw plików, brak możliwości otwierania dokumentów albo alarm narzędzia ochronnego. Pracownik nie musi samodzielnie rozpoznawać rodzaju złośliwego oprogramowania. Powinien wiedzieć, jak natychmiast zgłosić podejrzenie incydentu i jakich czynności zaniechać.
Zgłoszenie powinno zawierać podstawowe informacje: kto zauważył problem, kiedy to nastąpiło, jakie urządzenie lub usługa są dotknięte oraz co dokładnie pojawiło się na ekranie. Jeżeli można to zrobić bezpiecznie, warto zachować zdjęcie komunikatu wykonane innym urządzeniem.
Priorytetem technicznym jest odizolowanie urządzeń, co do których istnieje podejrzenie infekcji. Zależnie od możliwości może to oznaczać odłączenie przewodu sieciowego i Wi-Fi albo izolację przez narzędzie ochronne. Samo odcięcie dostępu do internetu może nie wystarczyć, jeżeli urządzenie nadal komunikuje się z innymi komputerami w sieci lokalnej.
Decyzje dotyczące odłączania serwerów, całych segmentów sieci lub infrastruktury produkcyjnej powinien koordynować uprawniony zespół. W środowiskach przemysłowych i innych systemach wpływających na bezpieczeństwo fizyczne trzeba uwzględnić skutki zatrzymania urządzeń.
Nie należy samodzielnie restartować komputerów, usuwać plików ani uruchamiać przypadkowych programów „naprawczych”. Wyłączenie zasilania może spowodować utratę danych ulotnych potrzebnych do analizy, ale pozostawienie urządzenia pracującego również może zwiększać szkody. Gdy izolacja jest niemożliwa, a zagrożenie nadal się rozprzestrzenia, zespół reagujący może zdecydować o jego wyłączeniu.
Pracownicy potrzebują krótkiej instrukcji: zgłoś problem, zastosuj ustalony sposób izolacji i poczekaj na dalsze polecenia. Samodzielne próby naprawy utrudniają ustalenie, co zrobił napastnik, a co zmieniono już po wykryciu ataku.
Minuty 10–20 – uruchom zespół kryzysowy i niezależną komunikację
Gdy incydent zaczyna wpływać na dostępność kluczowych usług, potrzebna jest osoba koordynująca reakcję całej organizacji. Powinna mieć prawo do zwołania zespołu, ustalenia priorytetów i eskalowania decyzji wymagających zgody kierownictwa.
W mniejszej firmie wystarczy kilka osób reprezentujących zarząd, IT i operacje. W większym przedsiębiorstwie potrzebne mogą być również funkcje prawna, ochrony danych, komunikacji i obsługi klientów. Ważniejsze od liczebności zespołu jest to, czy każda osoba zna swoje zadania i uprawnienia.
Na początku warto jednoznacznie wskazać:
- kto kieruje reakcją na incydent;
- kto prowadzi działania techniczne;
- kto ustala priorytety biznesowe i uruchamia tryb awaryjny;
- kto zatwierdza komunikaty;
- kto zapisuje ustalenia, decyzje i terminy.
Zespół nie powinien zakładać, że firmowa poczta i komunikator pozostają bezpieczne. Jeżeli napastnik przejął konta lub infrastrukturę tożsamości, może mieć dostęp również do rozmów dotyczących reakcji na atak. Potrzebny jest wcześniej przygotowany kanał awaryjny, niezależny od zagrożonego środowiska, używany z zaufanych urządzeń.
Nie oznacza to zgody na przenoszenie dokumentów klientów do dowolnych prywatnych aplikacji. Kanał awaryjny ma umożliwiać kontrolowaną koordynację. Zakres przekazywanych informacji powinien odpowiadać jego zabezpieczeniom.
Od pierwszego spotkania warto prowadzić dziennik zdarzenia. Każdy istotny wpis powinien wskazywać czas, potwierdzony fakt, podjętą decyzję i osobę odpowiedzialną. Hipotezy trzeba odróżniać od ustaleń. Informacja „nie potwierdzono wyprowadzenia danych” ma inne znaczenie niż zapewnienie „dane nie zostały wykradzione”.
Minuty 20–30 – określ skalę zakłócenia i chroń możliwości odtworzenia
W pierwszej godzinie zwykle nie da się ustalić pełnego przebiegu ataku. Można jednak zbudować wstępny obraz sytuacji: które systemy nie działają, jakie konta mogą być przejęte i czy problem obejmuje jedną lokalizację, czy większą część organizacji.
Zespół techniczny powinien przekazywać informacje w formie przydatnej biznesowo. Sama lista niedostępnych serwerów nie odpowie zarządowi na pytanie, czy przedsiębiorstwo może obsługiwać zamówienia. Potrzebne jest powiązanie systemów z procesami oraz rozróżnienie usług niedostępnych, odizolowanych zapobiegawczo i nadal działających, ale wymagających weryfikacji.
Szczególnej ochrony wymagają kopie zapasowe i systemy służące do ich zarządzania. Zespół powinien ocenić, czy napastnik mógł uzyskać do nich dostęp, oraz ograniczyć możliwość usunięcia lub nadpisania dostępnych punktów odtworzenia. Działania dotyczące replikacji i synchronizacji muszą być skoordynowane, aby nie przenieść skutków ataku do środowiska zapasowego.
Dostępna kopia zapasowa nie jest jeszcze potwierdzoną, bezpieczną podstawą odbudowy.
Przed odtwarzaniem trzeba zweryfikować jej przydatność, integralność i punkt czasowy. Najnowsza kopia może zawierać skutki wcześniejszej kompromitacji. Podłączenie jej do nadal zagrożonego środowiska może narazić odzyskane dane na ponowny atak.
Równolegle specjaliści zabezpieczają materiał potrzebny do analizy: logi, komunikaty, informacje o kontach i wykonanych działaniach. Nie należy jednak opóźniać pilnego ograniczania zagrożenia wyłącznie po to, aby zebrać kompletną dokumentację.
Z punktu widzenia kierownictwa po tym etapie powinny istnieć dwie odrębne informacje: jaki jest wpływ zdarzenia na działalność oraz co wiadomo o możliwościach jej przywrócenia. Przy obu trzeba jasno zaznaczyć niewiadome.
Minuty 30–45 – uruchom minimalny zakres działalności
Właśnie na tym etapie BCP przekłada się na konkretne decyzje biznesowe. Organizacja ustala, które procesy mogą działać w ograniczonym zakresie i na jakich warunkach.
Punktem odniesienia powinna być przygotowana wcześniej analiza wpływu zakłóceń na działalność, czyli BIA. Pomaga ona określić skutki przestoju, zależności między procesami i kolejność ich przywracania. Przydatne są również dwa parametry:
- RTO – docelowy czas przywrócenia procesu lub systemu po zakłóceniu;
- RPO – dopuszczalny zakres utraty danych wyrażony w czasie, określający, jak daleko wstecz może sięgać punkt odtworzenia.
Parametry te są celami planistycznymi. Nie stanowią gwarancji, że podczas każdego ataku uda się ich dotrzymać. Jeżeli sytuacja wskazuje na przekroczenie przyjętych wartości, kierownictwo powinno otrzymać tę informację odpowiednio wcześnie.
Tryb awaryjny musi być dostosowany do procesu. Firma usługowa może czasowo przyjmować zgłoszenia telefonicznie i rejestrować je w zatwierdzonym formularzu poza dotkniętym środowiskiem. Przedsiębiorstwo handlowe może ograniczyć realizację zamówień do tych, dla których dysponuje wiarygodnymi danymi o towarze i odbiorcy.
Nie każdą czynność można bezpiecznie wykonywać ręcznie. Brak dostępu do aktualnych informacji o płatnościach, ograniczeniach technicznych czy uprawnieniach klienta może uzasadniać czasowe wstrzymanie operacji.
Każdy proces uruchomiony awaryjnie powinien mieć osobę odpowiedzialną, określony zakres, sposób rejestrowania czynności i warunek zakończenia. Trzeba też zaplanować późniejsze uzgodnienie danych z odtworzonymi systemami. Bez tego firma może po opanowaniu ataku zmierzyć się z podwójnymi zamówieniami, brakującymi zgłoszeniami i błędnymi rozliczeniami.
Ciągłość działania polega na utrzymaniu uzgodnionego poziomu usług w kontrolowanych warunkach. Czasowe ograniczenie oferty może być właściwą decyzją, jeżeli pozwala zachować wiarygodność pozostałych operacji.
Minuty 45–60 – uporządkuj komunikację i obowiązki zgłoszeniowe
Do końca pierwszej godziny pracownicy powinni otrzymać jasną informację o zasadach pracy. Komunikat powinien wskazywać, z jakich systemów można korzystać, czego należy unikać, gdzie zgłaszać nowe objawy i kiedy pojawi się kolejna aktualizacja.
Klienci i dostawcy potrzebują przede wszystkim informacji o wpływie zakłócenia na współpracę. Jeżeli usługa jest niedostępna, warto wskazać alternatywny kanał kontaktu oraz termin następnego komunikatu. Nie należy obiecywać konkretnej godziny przywrócenia działania, zanim zespół techniczny potwierdzi podstawy takiej deklaracji.
Komunikacja powinna ograniczać się do ustalonych faktów. Brak dowodów wykradzenia danych na początku analizy nie uzasadnia zapewnienia, że nie doszło do ich ujawnienia. Podobnie samo przywrócenie strony internetowej nie oznacza zakończenia incydentu w pozostałych systemach.
Równolegle należy rozpocząć ocenę obowiązków prawnych, umownych i ubezpieczeniowych. Ransomware może prowadzić do naruszenia ochrony danych osobowych również przez utratę ich dostępności. Administrator zgłasza naruszenie właściwemu organowi bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, aby powodowało ryzyko naruszenia praw lub wolności osób.
Nie jest to termin na rozpoczęcie analizy. Jeżeli firma działa jako podmiot przetwarzający, powinna zawiadomić administratora bez zbędnej zwłoki. Odrębnie ocenia się potrzebę zawiadomienia osób, których dane dotyczą.
Zależnie od działalności mogą wystąpić dodatkowe obowiązki zgłoszeniowe. Warto od razu przypisać osobę odpowiedzialną za ich identyfikację, sprawdzenie umów z klientami i warunków polisy oraz koordynację kontaktu z właściwym CSIRT i organami ścigania.
Pierwsza godzina nie musi przynieść kompletnego zgłoszenia we wszystkich trybach. Powinna jednak zakończyć się ustaleniem, kto zbiera potrzebne informacje, jakie terminy obowiązują i kto zatwierdza dalsze działania.
Błędy, które mogą zwiększyć straty w pierwszej godzinie
Jednym z najbardziej kosztownych błędów jest przedwczesne odtwarzanie systemów. Presja na szybkie wznowienie usług bywa ogromna, ale odzyskanie danych w środowisku nadal kontrolowanym przez napastnika może doprowadzić do kolejnego zaszyfrowania.
Równie problematyczne jest utożsamianie działającej aplikacji z bezpieczną aplikacją. System może odpowiadać poprawnie, mimo że przejęto konto administratora albo pozostawiono w nim mechanizm dalszego dostępu. Decyzja o ponownym podłączeniu usługi powinna uwzględniać zarówno stan techniczny, jak i ocenę bezpieczeństwa.
Chaos pogłębiają nieuzgodnione zmiany. Jeżeli kilka osób równocześnie resetuje hasła, wyłącza urządzenia i modyfikuje konfigurację, zespół traci możliwość odtworzenia przebiegu reakcji. Nawet potrzebne działania powinny mieć osobę odpowiedzialną i zapis w dzienniku incydentu.
Kolejnym błędem jest bezwarunkowe przełączenie na środowisko zapasowe. Jeżeli współdzieli ono konta administracyjne, połączenia lub mechanizmy replikacji z zaatakowanym środowiskiem, również może być zagrożone. Gotowość techniczna wymaga potwierdzenia, że przełączenie nie przeniesie ataku.
Nie należy też pozwalać na samodzielne kontaktowanie się pracowników z napastnikiem, otwieranie wskazanych przez niego stron czy uruchamianie dostarczonych narzędzi. Żądanie okupu powinno zostać zabezpieczone jako element dokumentacji. Zapłata nie gwarantuje odzyskania danych ani usunięcia ich skradzionych kopii.
Presja czasu nie zwalnia z koordynacji. W pierwszej godzinie szczególnie ważne jest, aby organizacja wiedziała, kto podejmuje decyzje i na podstawie jakich informacji.
Po 60 minutach firma powinna mieć kierunek działania
Po godzinie od wykrycia ransomware organizacja może nadal nie znać źródła ataku, pełnego zakresu naruszenia ani terminu odbudowy. Realistycznym wynikiem jest jednak działający zespół, ustalone priorytety i kontrola nad kolejnymi krokami.
Kierownictwo powinno wiedzieć, kto prowadzi reakcję, które procesy są dotknięte, jakie działania podjęto w celu ograniczenia zagrożenia oraz czy uruchomiono bezpieczny tryb awaryjny. Potrzebna jest także wstępna ocena możliwości odtworzenia i lista najważniejszych niewiadomych.
Następny etap powinien mieć przypisane zadania: dalsze ustalanie zakresu kompromitacji, ochronę i weryfikację kopii, przygotowanie środowiska odbudowy, komunikację z kontrahentami oraz realizację obowiązków zgłoszeniowych. Każde zadanie wymaga osoby odpowiedzialnej i terminu aktualizacji statusu.
Skuteczność pierwszej godziny zależy w dużej mierze od przygotowania sprzed ataku. Lista kontaktów musi być dostępna również bez firmowej poczty, a plan nie może istnieć wyłącznie na serwerze, który właśnie został zaszyfrowany. Zastępcy powinni znać swoje uprawnienia, dostawcy – zasady eskalacji, a pracownicy – sposób zgłaszania problemów.
Dlatego BCP warto sprawdzać w ćwiczeniach obejmujących jednoczesną utratę kilku zależnych usług. Scenariusz, w którym nie działają poczta, logowanie i dostęp do dokumentów, szybko pokazuje, czy organizacja potrafi się zebrać, podjąć decyzję i podtrzymać obsługę klientów.
Dobrze przygotowany plan ciągłości działania pozwala zamienić pierwszą godzinę po ataku w serię świadomych, skoordynowanych decyzji. Firma chroni wtedy nie tylko infrastrukturę i dane, lecz także zdolność do realizacji zobowiązań wobec klientów, pracowników i partnerów biznesowych.
