Minute po kibernetskem napadu

Ponedeljkovo jutro. Telefonski klic, ki zveni drugače kot običajno. Glas na drugi strani je vznemirjen: »Datoteke so preimenovane. E-pošta ne deluje. Računalnik se obnaša nenavadno.« V zraku je občutek, da to ni običajna tehnična motnja.

Tak trenutek lahko doleti katerokoli podjetje. In vedno ima dva možna razpleta.

V prvem se situacija zameji, škoda ostane obvladljiva, poslovanje se nadaljuje. V drugem se začne verižno podiranje: podatki izginejo, zaupanje se zamaje, partnerji postanejo previdni. Razlika med obema pogosto ni v sreči, temveč v prvih odločitvah.

Največja napaka: improvizacija

Ko se pojavi sum na kibernetski napad, je prvi odziv pogosto zmeda. Nekdo meni, da je težava v internetu. Drugi začne sam preverjati strežnik. Tretji izklopi računalnik »za vsak slučaj«. Vsi želijo pomagati, a brez jasnega načrta vsaka takšna poteza lahko pomeni izgubo dragocenih sledi ali dodatno širjenje napada.

Najboljši odziv v prvih minutah ni panika, temveč ustavitev improvizacije.

To pomeni, da mora nekdo prevzeti vodenje. Jasno mora biti, kdo sprejema odločitve, kdo komunicira z zaposlenimi in kdo je tehnična povezava z zunanjimi strokovnjaki. Ko so vloge določene, se incident začne obravnavati sistematično, ne čustveno.

Incident ni lov na krivca

Prvi koraki niso usmerjeni v iskanje odgovornega, temveč v zamejitev škode. Notranja komunikacija mora biti enotna, usmerjena v en kanal. Zaposleni dobijo jasna navodila: brez samostojnih posegov, brez zunanjih izjav, brez eksperimentiranja.

Hkrati se začne tehnična izolacija tam, kjer je tveganje največje, tudi če to pomeni začasen zastoj določenih sistemov. Odločitve se sprejemajo na podlagi tveganja, ne udobja.

In nato pride ključno vprašanje: ali ustavljamo le del sistema ali širše okolje? Napačna ocena v tej fazi lahko pomeni razliko med obvladljivim incidentom in poslovno katastrofo.

Ko notranje znanje ni dovolj

Veliko podjetij nima lastne ekipe za kibernetsko varnost. Splošno IT-znanje je dragoceno, vendar se incidentni odziv bistveno razlikuje od vsakodnevne podpore uporabnikom. V takih trenutkih štejejo izkušnje, rutina in sposobnost hitrega branja signalov, ki jih drugi spregledajo. Zato je pomembno, da je pomoč dogovorjena vnaprej.

Ena od rešitev je upravljano zaznavanje in odzivanje (MDR), ko zunanji strokovnjaki ne čakajo, da podjetje samo zazna težavo, temveč stalno spremljajo varnostne dogodke in ob alarmu takoj pomagajo voditi prve korake.

Telekom Slovenije z lastnim Centrom kibernetske varnosti in odpornosti zagotavlja 24/7 nadzor, analizo dogodkov in podporo pri odzivu. To pomeni, da podjetje v kritičnem trenutku ni prepuščeno občutku ali improvizaciji, temveč sledi preverjenemu postopku.

Najprej sledi, potem pospravljanje

Ko sistemi odpovedujejo, je skušnjava velika: »Samo da spet dela.« Toda prehitro »čiščenje« lahko izbriše ključne sledi, ki razkrijejo, kako se je napad začel in kam se je razširil. Brez teh informacij podjetje morda obnovi delovanje, vendar ne odpravi vzroka, kar pomeni, da se napad lahko ponovi.

Zato se najprej zbirajo dejstva. Kateri sistemi so kompromitirani? Ali se napad širi? Kateri procesi so ključni za današnje poslovanje? Katere dostope je treba takoj omejiti?

MDR v tej fazi skrajša čas ugibanja in podaljša čas nadzora. Namesto kaotičnega preskakovanja med težavami podjetje deluje po jasnem vrstnem redu.

Vračanje mora biti počasnejše, kot bi si želeli

Ko je prvi val pod nadzorom, se pojavi nova nevarnost: prehitro vračanje v normalno stanje. A ravno tu se napadi pogosto ponovijo.

Ponovni zagon sistemov mora biti postopen in premišljen. Najprej se določi minimum, ki omogoča nadaljevanje poslovanja. Nato se preverjajo sistemi, zaostrijo dostopi in obnavlja okolje korak za korakom. Incident s tem še ni končan, je pa jasno, ali podjetje obvladuje situacijo ali ne.

Dva možna zaključka

Vsaka takšna zgodba ima dva razpleta:

1. V prvem podjetje omeji škodo. Ne zato, ker bi imelo srečo, temveč ker je ustavilo improvizacijo, jasno določilo odgovornosti, pravočasno vključilo strokovnjake in sledilo načrtu. Poslovanje se nadaljuje, ugled ostane večinoma nedotaknjen, zaupanje partnerjev se ohrani. 
2. V drugem vsi delujejo, a nihče ne vodi. Odločitve se sprejemajo brez celotne slike, sledi se izgubijo, komunikacija je razpršena. Incident preraste tehnično težavo, ki postane poslovna. Cena ni le v podatkih, temveč v zaupanju.

Resnica kibernetske varnosti je preprosta: napad se lahko zgodi vsakomur. Razlika je v tem, ali imate že danes odgovor na tri vprašanja: kdo vodi prvih 60 minut, kako poteka komunikacija in koga pokličete, ko notranje znanje ni dovolj. Če so ti odgovori jasni, je verjetnost boljšega zaključka bistveno večja.

Vsebina je bila delno ustvarjena s pomočjo umetne inteligence.