Szyfrowanie nie opisuje całego zdarzenia

Widoczna blokada plików może być ostatnim etapem dłuższego naruszenia. Analiza powinna objąć nie tylko zaszyfrowane serwery, ale także tożsamości administratorów, kopie zapasowe, dostęp zdalny i ślady transferu danych. Sam brak dowodu wycieku na początku nie dowodzi, że wycieku nie było.

Decyzję o izolacji i sposobie zabezpieczenia materiału podejmuje zespół techniczny. Nie uruchamiaj przypadkowych programów „naprawczych” na wszystkich maszynach. Mogą zmienić ślady i utrudnić wybór bezpiecznej ścieżki odtworzenia.

Odtwarzaj proces, a nie sam serwer

Kopia bazy może być sprawna, ale bez usługi logowania, konfiguracji aplikacji i integracji nie przywróci obsługi klienta. Ustal minimalny zestaw usług potrzebny do wznowienia pracy. Przywracanie w odseparowanym środowisku pozwala sprawdzić, czy źródło naruszenia zostało usunięte.

Priorytety powinny wynikać z wpływu biznesowego i bezpieczeństwa. Dostępność plików nie jest jeszcze zgodą na pełny powrót użytkowników. Osoba odpowiedzialna za proces potwierdza poprawność danych oraz możliwość wykonania kluczowych czynności.

Oddziel żądanie przestępcy od kosztów reakcji

Kwota okupu nie jest miarą całej straty. Nawet po odzyskaniu plików pozostają analiza, odbudowa zaufania do systemu i możliwe obowiązki wobec osób. NCSC ostrzega, że obietnice sprawców nie dają pewności co do danych. Decyzja wymaga specjalistycznej oceny prawnej, w tym sankcji.

W OWU PZU UZ/162/2023 odrębnie zdefiniowano koszty cyberwymuszenia. Nie należy na tej podstawie obiecywać pokrycia dowolnego okupu. Zakres i zgody trzeba ustalić z podmiotem reagującym wskazanym w polisie.

Dowody, które przygotowują firmę do oceny szkody

Zachowaj komunikat sprawcy, moment wykrycia, listę dotkniętych usług, wersje kopii oraz historię decyzji. Faktury rozdziel na badanie przyczyny, odtworzenie i modernizację. Wykaz utraconych transakcji powinien wskazywać, które z nich odrobiono później.

Przed zawarciem ochrony sprawdź scenariusz utraty także środowiska backupu. Test odtworzenia krytycznej aplikacji jest dla planowania bardziej użyteczny niż informacja, że zadanie kopiowania zakończyło się zielonym statusem.

Pytanie na ćwiczenie zarządu

Sprawdź, czy zespół potrafi działać bez poczty i bez panelu backupu. Kto ma dostęp do polisy, kontaktów i niezależnej kopii dokumentacji? Ćwiczenie nie powinno kończyć się na teoretycznym stwierdzeniu, że kopie istnieją. Zapisz faktyczny czas uruchomienia minimalnego procesu i wykryte zależności.