Oddziel twierdzenie sprawcy od dowodu

Napastnik może pokazać prawdziwe, częściowe, stare albo cudze dane. Nie publikuj próbek i nie przekazuj ich szerokiemu gronu w firmie. Analiza powinna ustalić związek materiału z organizacją oraz to, czy ujawnienie mogło nastąpić w bieżącym zdarzeniu.

Sam termin wyznaczony przez sprawcę nie powinien zastępować procesu decyzyjnego. Wyznacz niewielki zespół, zabezpiecz komunikację i dokumentuj każdą otrzymaną wiadomość. Rozproszone, nieskoordynowane odpowiedzi mogą ujawnić informacje o możliwościach firmy.

Decyzja obejmuje prawo, bezpieczeństwo i biznes

Wymuszenie wymaga oceny technicznej oraz prawnej, w tym możliwych ograniczeń sankcyjnych. Nie można zakładać legalności lub dopuszczalności płatności tylko dlatego, że firma ma polisę. Ubezpieczenie nie zwalnia zarządu z odpowiedzialnej organizacji reakcji.

Przy planowaniu uwzględnij wariant bez współpracy sprawcy: odbudowę usług, informacje dla klientów i obsługę potencjalnego ujawnienia. NCSC wskazuje ograniczenia zaufania do obietnic przestępców. Zapłata nie stanowi technicznego dowodu usunięcia danych.

PZU: uprzednia zgoda ma znaczenie

OWU UZ/162/2023 pkt 2.6 wiążą koszty cyberwymuszenia z uzasadnionymi wydatkami, realnym zagrożeniem i uprzednią zgodą ubezpieczyciela. Pkt 3.7 dotyczy sankcji i prawa. Tych postanowień nie należy skracać do hasła „PZU płaci okup”.

Pierwszym punktem kontaktu w posiadanej ochronie jest podmiot wskazany w polisie. Agent może pomóc zrozumieć dokumenty, ale ogólny formularz sprzedażowy nie jest bezpiecznym kanałem negocjowania zdarzenia ani zastępstwem zespołu reagowania.

Przygotowanie przed kryzysem

Ustal, kto podejmuje decyzje poza godzinami pracy, gdzie są kopie polisy i jakie kanały komunikacji nie zależą od firmowej domeny. Przećwicz sytuację, w której równocześnie nie działa poczta, telefonia internetowa i system plików.

Zapisz osobno koszty specjalistów, analizy próbek, komunikacji oraz odtworzenia. Wartość żądania sprawcy nie musi odpowiadać rzeczywistej ekspozycji firmy. Scenariusz doboru sumy powinien obejmować także pracę potrzebną po zakończeniu presji.

Dziennik kontaktu i decyzji

Zachowaj oryginalną wiadomość, czas jej otrzymania i sposób dalszego przekazania. Próbki danych udostępniaj wyłącznie osobom niezbędnym do oceny, uzgodnionym kanałem. Zapisuj, kto akceptował komunikację i na jakiej podstawie. Dziennik nie powinien zawierać powszechnie dostępnych haseł ani kluczy umożliwiających dalszy dostęp.