Ransomware w spółce produkcyjnej

Scenariusz hipotetyczny: pracownicy tracą dostęp do planowania produkcji i dokumentów wysyłkowych. Część maszyn nadal pracuje lokalnie, lecz firma nie może bezpiecznie potwierdzić kolejności zleceń. Nie opisujemy automatycznie całej fabryki jako zatrzymanej; trzeba ustalić, które procesy rzeczywiście są niedostępne.

Zarząd zbiera czas niedostępności, listę opóźnionych zleceń i koszty działań zastępczych. Pytania do umowy dotyczą definicji zakłócenia, okresu oczekiwania, kosztów ekspertów i wymogów zgłoszenia. Uszkodzenie rzeczy lub szkoda osobowa wymagają odrębnej analizy.

Przejęta poczta biura rachunkowego

Scenariusz hipotetyczny: ktoś loguje się do skrzynki obsługującej kilku klientów i tworzy regułę przekazywania wiadomości. Firma musi ustalić okres dostępu oraz zakres danych. Nie zakłada wycieku wszystkich dokumentów wyłącznie dlatego, że konto zostało przejęte, ale nie ignoruje ryzyka poufności.

Osobno analizowane są koszty reakcji i zawiadomień, ewentualne roszczenia oraz możliwy przelew na rachunek wskazany przez oszusta. Samo wspólne źródło incydentu nie oznacza, że każda kategoria straty ma identyczną kwalifikację ubezpieczeniową.

Niedostępna usługa zewnętrzna

Scenariusz hipotetyczny: hurtownia nie może korzystać z aplikacji magazynowej dostawcy. Najpierw ustala, czy przyczyną był cyberincydent, błąd, problem łączności czy inna awaria. Zbiera komunikaty dostawcy, czasy zdarzenia i zakres umowy. Ogólny status „service unavailable” nie wyjaśnia przyczyny.

Firma porównuje możliwości pracy ręcznej i odtworzenia danych. W rozmowie o ochronie sprawdza definicję dostawcy oraz zdarzenia i wyłączenia. SLA dostawcy, ewentualna rekompensata usługowa i polisa są różnymi mechanizmami; nie należy sumować ich bez oceny zasad rozliczeń.

Jak przeprowadzić ćwiczenie

Wyznacz moderatora i przedstawiaj fakty etapami, tak jak napływałyby w kryzysie. Zespół ma wskazać decyzję, osobę odpowiedzialną i potrzebny dokument. Mierz czas odnalezienia polisy, kontaktu reagowania i ostatniego potwierdzonego testu odtworzenia. To wartościowsze niż dyskusja o idealnej procedurze.

Po ćwiczeniu sporządź trzy listy: poprawki operacyjne, dane potrzebne do finansowej oceny i pytania do ubezpieczyciela. Nie oceniaj wyniku wyłącznie kwotą symulowanej szkody. Brak dostępu do kontaktów lub danych może być ważniejszym odkryciem niż pozornie dokładny koszt.

Ćwiczenie zakończ właścicielem każdego działania oraz terminem sprawdzenia. Sam zapis „poprawić backup” jest zbyt ogólny: trzeba ustalić, którego procesu dotyczy, jaki test ma potwierdzić poprawę i kto zaakceptuje wynik.