Učinkovita kibernetička obrana je kombinacija ljudi, tehnologije i procesa. Jasno definirane uloge i odgovornosti, educiranost i visoka svjesnost zaposlenika o mogućim rizicima te korištenje pažljivo odabrane moderne tehnologije čvrsto štite organizaciju od kibernetičkih napada.
Osnovni cilj kibernetičke obrane nije samo spriječiti napad, već osigurati otpornost sustava i kontinuitet poslovanja. U slučaju incidenta, organizacija mora biti sposobna nastaviti s radom uz minimalne financijske, operativne i reputacijske posljedice. Zato je obranu potrebno kontinuirano provjeravati i unapređivati.
Napadači također poboljšavaju i prilagođavaju svoje tehnike napada. Prema dostupnim analizama, napadači su najviše fokusirani pronaći ranjivosti na krajnjim uređajima odnosno računalima i mobitelima, te se putem VPN pristupa infiltrirati u organizaciju. Različita istraživanja procjenjuju da je ljudski faktor uključen u oko 60 % sigurnosnih incidenata. S obzirom na ovaj visoki postotak, više se ne postavlja pitanje hoće li se incident dogoditi, nego koliko brzo će biti prepoznat, tko donosi odluke i kako će se voditi komunikacija.
Možete li biti sigurni da vaša obrana zaista funkcionira?
Procedure i planovi često izgledaju dobro „na papiru”, no potrebno je provjeriti kako zaista funkcioniraju u stvarnosti. Nekoliko je ključnih pitanja, a s odgovorima treba biti upoznata cijela organizacija:
- Tko donosi odluke? Tko je voditelj tima za reakciju na incidente i što je potrebno za ključne “go/no-go” odluke? Tko proglašava sigurnosni incident?
- Kako izgleda proces eskalacije? Koga se informira i kada?
- Kako se koordiniraju timovi u različitim odjelima? Koji odjeli trebaju biti uključeni u rješavanje sigurnosnog incidenta – IT podrška, IT infrastruktura, pravna služba, PR, Uprava?
- Tko je zadužen za komunikaciju prema zaposlenicima, klijentima, medijima, regulatornim tijelima i osiguravateljima?
- U kojem vremenu se očekuje oporavak? Jesu li očekivano vrijeme i opseg oporavka realno planirana?
Ako su svi zaposlenici upoznati s ovim procedurama i znaju ih primijeniti u praksi, možemo reći da cyber obrana u tom dijelu dobro funkcionira. Međutim, bitno je s vremena na vrijeme provjeravati znanje i spremnost zaposlenika, a kao jedan od načina su Tabletop vježbe.
Što su Tabletop vježbe?
Tabletop vježbe su strukturirane simulacijske vježbe u kojima sudionici prolaze kroz realističan scenarij sigurnosnog incidenta. Cilj je provjeriti spremnost organizacije, jasnoću procedura i sposobnost donošenja odluka pod pritiskom.
Vježbe se provode u kontroliranim uvjetima, ali uz realne poslovne okolnosti i vremenski pritisak. Sudionicima se dodjeljuju uloge i odgovornosti, a scenarij se razvija kroz faze incidenta kako bi se razvila svijest o razlici između sigurnosnog događaja koji ima aktivnosti s potencijalom za prijetnju i samog sigurnosnog incidenta gdje je potvrđena zlonamjerna aktivnost.
Primjer: ako zaposlenik primi sumnjiv e-mail i prijavi ga sigurnosnom timu, riječ je o sigurnosnom događaju. Ako zaposlenik otvori privitak i zlonamjerni program (npr. Ransomware) počne šifrirati podatke, riječ je o sigurnosnom incidentu. Jasna klasifikacija je ključna kako kritični incident ne bi prošao bez odgovarajuće eskalacije.
Tabletop vježbe su preporučena praksa u okvirima standarda i metodologija kao što su ISO 27001, NIST CSF i ISO 22301 za upravljanje kontinuitetom poslovanja.
Primjer Tabletop scenarija
Ponedjeljak je, 8:30. Prodaja danas predaje veliku ponudu, računovodstvo radi obračun plaća i pušta isplate na bankovne račune zaposlenika, a odjel infrastrukture priprema zamjenu ključnih firewall uređaja.
Odjel za IT podršku i informatičku sigurnost primjećuje povećan promet prema malicioznim adresama dok se paralelno javlja problem dostupnosti web servisa, web stranica i ključnih aplikacija. Sumnja se na Distributed Denial of Service (DDoS napad) koji utječe na udaljeni rad i web usluge.
Sudionici vježbe imaju dodijeljene uloge odgovornosti i trebaju provjeriti:
- tko vodi incident i održava situacijsku sliku
- tko je vlasnik pojedinih aktivnosti (SOC, mreža, infrastruktura, aplikacije)
- kada se proglašava kriza i aktivira krizni stožer
- kako se prioritiziraju servisi i poslovni procesi
- kako se provodi interna i eksterna komunikacija
Sudionici vježbe razgovaraju o informacijama s kojima raspolažu, kategoriziraju događaj i odlučuju koje će korake poduzeti.
ŠTO KAD PRIČA POSTAVE JAVNA?
Dok se radi na rješavanju incidenta, vrlo često se pojavljuju nove situacije i često dolazi do dodatnih pritisaka. Raste broj poziva prema Service Desku i korisničkoj podršci. Klijenti počinju postavljati pitanja o dostupnosti i sigurnosti, pristižu upiti medija, a informacije se šire kroz online kanale i društvene mreže.
Zato Tabletop vježbe uključuju i ne-tehničke odluke upravljanja incidentom, uključujući odluke o tome što se komunicira, a što zadržava interno, tko daje izjave i kojim tonom, kako se usklađuju pravna služba, PR i operativni timovi te na koji se način dokumentira tijek donošenja odluka za potrebe regulatornih i osiguravajućih tijela.
NAJTEŽE PITANJE – PLATITI OTKUPNINU ILI NE?
Prema nedavnim analizama, Ransomware je prisutan u 44% sigurnosnih incidenata. Međutim, zabilježen je trend rasta organizacija koje odbijaju platiti (64%).
U Tabletop vježbi odluka o plaćanju ili neplaćanju otkupnine se razrađuje kroz definirane procedure upravljanja i analize rizika:
- provjeravaju se ugovorne obveze prema klijentima i partnerima
- u slučaju ako je tvrtka osigurana od napada, informira se i uključuje osiguravatelja i pravnu službu
- procjenjuju se sankcijski i reputacijski rizici napada
- izrađuje se plan oporavka i plan komunikacije
Važno za uzeti u obzir prilikom donošenja odluke je da ponekad čak i uz ključ za dešifriranje oporavak može biti spor, a dio sustava oštećen. Sudionike vježbe se potiče da razmisle o spremnosti organizacije za nastavak poslovanja i implementiranim rješenjima kao što su Business Continuity Planning (BCP) i Disaster Recovery (DR) te validaciji integriteta nakon oporavka.
Što dobijete nakon Tabletop vježbe?
Kvalitetna vježba završava konkretnom analizom i odgovorima što i kako se može poboljšati u procesu upravljanja sigurnosnim događajima. Rezultat vježbe je After Action Report koji uključuje analizu uspješnih i neuspješnih koraka te Akcijski plan za vlasnike procesa i rokovima kako bi se zatvorile eventualne rupe i podigla sigurnost organizacije na višu razinu.
Tabletop vježba također omogućuje provjeru usklađenosti organizacije s regulativama. Pomaže da rokovi prema regulatornim tijelima ne budu teorija, nego da se provjeri tko prikuplja činjenice, tko odobrava sadržaj i tko šalje prijavu.
GDPR uredba predviđa da se nadzorna tijela obavijeste u roku do 72 sata od saznanja, kada je vjerojatno da sigurnosni incident nosi rizik za prava i slobode pojedinaca.
Za subjekte koji podliježu NIS2 direktivi, rok prijave “značajnog“ incidenta uključuje rani signal (24h), dodatnu obavijest (72h) i završno izvješće (u pravilu unutar mjesec dana), uz nacionalne specifičnosti implementacije.
Redovite Tabletop vježbe pretvaraju planove iz dokumenata u stvarnu operativnu spremnost. Kada se incident dogodi, tada više nije vrijeme za improvizaciju, nego za uvježbanu reakciju.
KING ICT pomaže ojačati sigurnost, uskladiti se s propisima i učinkovito upravljati rizicima
KING ICT kroz CSOC (Cyber Security Operations Center) pruža usluge neprekidnog nadzora, detekcije i odgovora na prijetnje te iskustvo u vođenju incidentnih situacija i koordinaciji više timova.
Dodatno, provodimo i opisane Tabletop simulacijske vježbe koje prilagođavamo organizacijskoj arhitekturi, procesima i regulatornim obvezama.
Tabletop vježbama testiramo donošenje odluka, procese i komunikaciju u realnom scenariju te kao rezultat isporučujemo mjerljivi plan poboljšanja.
Posjetite stranicu KING ICT CSOC i saznajte više o našim uslugama.
Javite nam se za inicijalni razgovor.
