11 dažniausių klaidų, kurias padaro kibernetinę ataką patyręs verslas

Lietuvoje vis daugiau įmonių ir valstybinių institucijų patiria kibernetines atakas, programišių taikiniu galima tapti nepriklausomai nuo dydžio ir veiklos pobūdžio. Juos sudomina ne tik didelės finansų ar gamybos, bet ir nedidelės paslaugų teikimo ar nebūtinai jautriais klientų duomenimis disponuojančios įmonės. Tačiau vis dar per mažai kalbama apie tai, kokių konkrečių veiksmų turėtų imtis kibernetinę ataką patyrusi įmonė. Pateikiame 11 pagrindinių šioje situacijoje daromų klaidų ir patarimus, kaip jų išvengti.

Tai, kad padėtis blogėja, pastebima kone visame pasaulyje: ypač didelis programišių suaktyvėjimas Europoje ir tuo pačiu Lietuvoje jaučiamas prasidėjus Rusijos karui Ukrainoje. Naujausiais privatumo, duomenų apsaugos ir informacijos saugumo politiką tiriančio „Ponemon“ instituto duomenimis, JAV net 68 proc. verslo lyderių jaučia kibernetinių rizikų augimą. Tuo tarpu, kaip atskleidžia kibernetinio saugumo srityje besispecializuojančios kompanijos „Sophos“ duomenys, net 54 proc. įmonių nemano, kad jų turimi informacinių technologijų (IT) departamentai yra pakankamai pasirengę suvaldyti galimas kibernetines atakas. Situaciją komplikuoja ir tai, kad reta įmonė yra susipažinusi su tuo, ką reikėtų daryti ištikus kibernetinei atakai. Aiškaus reagavimo plano neturėjimas ir informacijos trūkumas, kaip elgtis atsidūrus tokioje situacijoje, nulemia brangiai verslui kainuojančias klaidas.

11 dažniausiai pasitaikančių klaidų:

1. Nepadaryti namų darbai. Kalbant apie kibernetines atakas, reikia suprasti, kad programišiai gali atakuoti bet kuriuo metu, atitinkamai, visada reikia būti pasiruošus į tokius išpuolius reaguoti. Deja, tuo vadovaujasi retas verslas: kaip atskleidžia „Ponemon“ instituto duomenys, net 77 proc. įmonių neturi reagavimo į kibernetines atakas plano. Vis tik manoma, kad reagavimo plano parengimas yra pirmas būtinas žingsnis, kurį verslas turėtų padaryti, nes toks planas apibrėžia, kaip bus valdoma situacija, jame aiškiai deleguojamos užduotys, paskiriami atsakingi darbuotojai ir net sudaromos krizių valdymo komandos. Taip pat reikėtų periodiškai vykdyti mokymus darbuotojams, netgi inscenizuoti incidentus, kad įvykus realiai atakai visi žinotų savo atsakomybes ir maksimaliai susitelktų į padarinių pašalinimą.
2. Uždelsta reakcija. Pirmosios valandos po kibernetinės atakos ir duomenų pažeidimo aptikimo yra labai svarbios – tiek siekiant suprasti incidento aplinkybes bei priežastis, tiek jį šalinant ir mažinant jo pasekmes. Tačiau iš anksto tinkamai nepasiruošus, kyla chaosas ir visas dėmesys skiriamas ne į padarinių šalinimą, bet į reagavimo proceso kūrimą. Tuomet prarandamas itin svarbus laikas, per kurį gali būti padaroma neatitaisoma žala įrangai, sistemoms ir duomenims, sukeliami didžiuliai finansiniai ir reputacijos nuostoliai. Be abejo, lygiagrečiai turi sekti ir tinkama komunikacija su klientais ar partneriais, prireikus – vieša komunikacija, proaktyviai bendradarbiaujama su institucijomis.
3. Pavėluotas specializuotų teisininkų įtraukimas. Sėkmingas kibernetinės atakos pasekmių mažinimas tiesiogiai priklauso nuo krizės valdymo veiksmų operatyvumo ir efektyvumo. Pirminio situacijos valdymo plano sukūrimas, pasirengimas komunikacijai, užduočių koordinavimas įmonės viduje, darbo pasidalinimas ir gebėjimas imtis bent pirmųjų veiksmų dažniausiai užtrunka mažiausiai 48 val., nors būtent pirmosios dvi paros yra kritiškai svarbios suvaldant ataką. Todėl rekomenduojama nedelsiant įtraukti kibernetinių incidentų valdymo procese patyrusius teisininkus ekspertus, kurie nuosekliai suorganizuotų ir įgyvendintų visą atakos suvaldymo procesą.
4. Išpirkos derinimas be patyrusių ekspertų pagalbos. Kaip parodė JAV informacinių technologijų kompanijos „Veeam“ duomenų apsaugos ataskaitos duomenys, net 76 proc. organizacijų visame pasaulyje jau patyrė kibernetines atakas, o praktikoje žinoma labai mažai atvejų, kai duomenys buvo sėkmingai ir greitai atgauti sumokėjus išpirką. Sumokėjus išpirką, dažniausiai prarandami tiek pinigai, tiek duomenys, arba duomenys vis tiek paviešinami. Tad derybas turėtų vesti tik tokiose situacijose jau patyrę specialistai.
5. Nepranešimas atsakingoms institucijoms. Patyrus kibernetinę ataką, visoms įmonėms rekomenduojame nedelsiant kreiptis į Nacionalinį kibernetinio saugumo centrą, nepaisant to, kad formaliai tokia prievolė galioja tik kai kuriems subjektams. Jei incidentas susijęs su asmens duomenimis, apie jį jau visoms įmonėms privalu informuoti Valstybinę duomenų apsaugos inspekciją. Šių institucijų informavimo terminai kartais siekia vos kelias valandas, o jų nesilaikymas gali užtraukti nemažas pinigines baudas. Pirminiame pranešime svarbu pateikti esminę turimą informaciją, o vėliau, jau paaiškėjus papildomoms ar naujoms aplinkybėms, tokius pranešimus visada galima patikslinti.
6. Chaotiška vieša komunikacija. Jei nutekinami jautrūs klientų duomenys, faktas apie kibernetinę ataką neabejotinai pateks į viešąją erdvę. Pavieniai, fragmentiški ir nesuderinti atskirų įmonės atstovų vieši pasisakymai krizės metu gali sukelti net didesnį klientų pasipiktinimą bei pakurstyti grupės ieškinio inicijavimą, taip pat sukelti neigiamas pasekmes institucijų pradėtų tyrimų atžvilgiu. Tad itin svarbu užtikrinti tikslingą ir nuoseklią viešosios komunikacijos kampaniją, pasitelkti išorinių ekspertų ar vidinių specialistų pagalbą, iš anksto sudaryti komunikacijos planą, paskirti atstovus žiniasklaidai bei parengti viešinamas žinutes.
7. Ignoruojamos individualios užklausos. Jei yra nutekinami asmens duomenys, nukentėję asmenys tai gali priimti itin asmeniškai. Natūralu, kad neturint visos informacijos apie incidento aplinkybes, jiems gali būti neramu dėl to, kokius veiksmus yra būtina atlikti ir kokios gali būti pasekmės. Todėl įmonę gali pasiekti didžiulis skaičius besikreipiančiųjų užklausų, kurių kiekvieną būtina priimti ir išnagrinėti. Suvaldyti užklausų srautą gali padėti įsteigta „karštoji linija“, internete skelbiama skiltis su dažniausiai užduodamais klausimas (DUK), iš anksto parengti ir esant reikalui siunčiami standartizuoti atsakymai pagal užklausų temas. Pastebime, kad savalaikis ir proaktyvus atsakas padeda sumažinti nukentėjusių asmenų neigiamas reakcijas ir užtikrina institucijų palaikymą bei pasitikėjimą.
8. Pamirštami darbuotojai. Komunikacija apie įvykusią kibernetinę ataką turi pasiekti ir įmonės darbuotojus – vidinė komunikacija čia ne ką mažiau svarbi. Įvykus kibernetinei atakai reikėtų atvirai ir dar nepasirodžius įmonės atstovų komentarams žiniasklaidoje, bendrovės viduje komunikuoti apie kibernetinę ataką, jos pasekmes ir įmonės planuojamus veiksmus. Tinkamai neinformavus darbuotojų apie ataką ir realią grėsmę, viešojoje erdvėje gali pasirodyti realios situacijos neatitinkanti informacija, kuri gali sukelti finansinę ir reputacinę žalą įmonei.
9. IT specialistų neįtraukimas, siekiant išsiaiškinti aplinkybes ir priežastis. Įvykus kibernetinei atakai, IT komandos resursai dažniausiai skiriami pašalinti incidentą ir likviduoti jo pasekmes, tačiau vėliau neretai pamirštama skirti resursų išsamiam vidiniam IT tyrimui atlikti. Jo metu turėtų būti siekiama išsiaiškinti incidento aplinkybes ir priežastis, inventorizuoti prarastus ar paveiktus duomenis, surinkti visą komunikacijai skirtą informaciją. Praktikoje tai vadinama IT auditu, kuriam neretai rekomenduojama pasitelkti nepriklausomus IT specialistus – taip ne tik neužkraunamas papildomas darbas vidinei IT specialistų komandai, bet ir gali būti gaunamos objektyvesnės išvados. Galiausiai, tai gali padėti užskirsti kelią panašiems incidentams ateityje.
10. Nedokumentuojamos aplinkybės ir neatliekamas vidinis tyrimas. Nepriklausomai nuo to, ar galioja pareiga pranešti institucijoms, rekomenduojama nuo pat sužinojimo apie incidentą momento visas aplinkybes fiksuoti raštu. Tokie veiksmai gali būti itin reikšmingi vėliau, ypatingai, jei paaiškėja, kad nutekinti jautrūs klientų duomenys, imantis prevencinių priemonių, kad tokios atakos nepasikartotų ateityje, informuojant klientus bei institucijas, jei pastarosios grįžta su papildomais klausimais ir tyrimais.
11. Pamirštas kibernetinių rizikų draudimas. Neretai įmonių užmirštamas, bet vienas iš patikimų būdų išvengti klaidų kibernetinės atakos suvaldymo procese – kibernetinių rizikų draudimas. Turint tokį draudimą, draudikas gali apmokėti teisininkų, IT specialistų, individualių klientų užklausų atsakymo ir kitas tokioje situacijoje būtinas paslaugas. Įvykus draudžiamajam įvykiui, toks draudimas taip pat gali kompensuoti ne tik įmonės išlaidas ginantis nuo pareikšto ieškinio, negautas pajamas dėl kibernetinės atakos sukelto verslo nutrūkimo ar bendrovės reputacijos atkūrimo išlaidas, bet ir skirtą baudą ar teismo sprendimu priteistą žalą. Gali būti kompensuojama net išpirka programišiams ar iš įmonės vadovybės priteista žala, jei nustatoma jų atsakomybė dėl klaidų, turėjusių įtakos kibernetinei atakai. Be to, draudikas gali ne tik kompensuoti įmonės patirtas išlaidas krizės valdymo priemonėms, bet ir parūpinti apsidraudusiai įmonei atakos valdymo ekspertų komandą, pavyzdžiui, patyrusius teisininkus, IT specialistus, derybininkus ir kitus.

Komentuoja teisės firmos „Sorainen“ ekspertė Irma Kirklytė ir vyresnioji teisininkė Indrė Pelėdaitė