Incidentų planas ir incidentų kortelė

8 modulis: Kai nutinka incidentas · Skaitymo trukmė: 10 min.

Mokymosi tikslas: Po šios pamokos galėsite sudaryti incidentų kortelę ir paprastą incidentų planą, kurie veiks net tada, kai kompiuteriai, el. paštas ir telefonų sąrašas nebus pasiekiami.

Pagrindinės sąvokos: incidentas, incidentų kortelė, incidentų planas, vaidmenys, kontaktų sąrašas, lokalizavimas, įrodymų išsaugojimas, komunikacija, saugojimas ne internete, mokymai (tabletop)

Kodėl tai reikia susitvarkyti dabar, o ne tada, kai dega

Įsivaizduokite: pirmadienio rytas, 07:45. Ant Kepyklos Example kasos kompiuterio ekranas raudonas, o jame rašoma, kad visi failai užšifruoti. Bendra aplanko su užsakymais neatsidaro. Kažkas sako: "Skambinkime kompiuterių specialistui." Tačiau jo numeris yra pašto dėžutės kontaktuose, o pati pašto dėžutė yra tame pačiame kompiuteryje. Kitas nori iškart išjungti kompiuterį. Trečias pradeda jungti atsarginės kopijos diską, kad "viską atkurtų".

Visos trys reakcijos suprantamos, ir dvi iš jų tik pablogina padėtį. Taip būna beveik visada: spaudžiami žmonės daro tai, kas pirmiausia šauna į galvą. Incidentas yra bet koks įvykis, kuris kelia grėsmę Jūsų duomenų ar sistemų prieinamumui, patikimumui ar konfidencialumui: nulaužta pašto paskyra, išpirkos reikalaujanti programa (ransomware), pamestas nešiojamasis kompiuteris, klientų duomenis turintis laiškas, išsiųstas ne tam adresatui, perimta svetainė.

Plano tikslas nėra tai, kad viskas vyktų sklandžiai. Tikslas yra per pirmąją valandą nepadaryti klaidų, kurių nebegalėsite atitaisyti, ir žinoti, kam skambinti.

Incidentų kortelė ir incidentų planas: koks skirtumas

Dviejų iki dvidešimties žmonių įmonei svarbiausia yra kortelė. Planas gali būti trumpas. Nyderlandų NCSC yra parengęs išsamų incidentų reagavimo planą išpirkos reikalaujančioms programoms (žr. Toliau skaitykite); juo galite remtis kaip pagrindu ir sutrumpinti.

Kas rašoma incidentų kortelėje

Gera kortelė atsako į penkis klausimus. Žemiau pateikiamas šablonas, kurį galite perimti.

INCIDENTŲ KORTELĖ  Kepykla Example            versija: 1   data: ..-..-....

1. PASTEBĖJOTE KĄ NORS KEISTO?  (raudonas ekranas, išsiųstas keistas laiškas, prisijungti nepavyksta,
   nežinomas mokėjimas, dingo nešiojamasis kompiuteris, duomenys išsiųsti ne tam adresatui)
   -> IŠKART praneškite: ............................  tel: ...............
      Atsarginis kontaktas: ..........................................  tel: ...............
   Pranešti visada gerai. Niekas nebus kaltinamas.

2. PIRMIEJI ŽINGSNIAI (patys netaisykite)
   [ ] Atjunkite tinklo kabelį / išjunkite „Wi-Fi“ / įjunkite skrydžio režimą. NEIŠJUNKITE įrenginio.
   [ ] Atjunkite USB ir atsarginių kopijų diskus. NEJUNKITE jų.
   [ ] Nufotografuokite ekraną (telefonu).
   [ ] Užsirašykite: laiką, ką matėte, ką darėte.
   [ ] Nemokėkite, nereaguokite į reikalavimus.

3. KAM SKAMBINAME?
   IT pagalba / administratorius   ............................  tel: ...............
   Talpinimas / paštas             ............................  tel: ...............
   Bankas (sukčiavimas, 24/7)      ............................  tel: ...............
   Draudikas (kibernetinis)        ............................  polisas: .............
   Policija (pareiškimas)    112 arba e. policija (https://www.epolicija.lt/)
   VDAI pranešimas apie duomenų saugumo pažeidimą  per internetinę formą (per 72 valandas)
   Svarbus klientas / tiekėjas: ...................  tel: ...............

4. KAS SPRENDŽIA IR KAS KALBA?
   Sprendžia (išjungti, atkurti, pranešti, mokėti): ..........................
   Kalba su klientais, žiniasklaida, darbuotojais: ........................................
   Tvarko žurnalą: .....................................................

5. KUR KAS YRA?
   Atsarginės kopijos: .............................. (paskutinis testas: ..-..-....)
   Slaptažodžių tvarkyklės avarinė prieiga: ...........................................
   Sistemų ir paskyrų sąrašas: ..........................................
   Šis planas (skaitmeninis) + kopija ne įmonėje: ..............................

Keletas šio šablono sprendimų verti paaiškinimo.

• "Neišjungti, bet atjungti." Esant išpirkos reikalaujančios programos atakai, Nyderlandų NCSC pataria iškart atjungti paveiktą įrenginį nuo tinklo (kabelį, „Wi-Fi“, mobilųjį tinklą), tačiau jo neišjungti; miego režimas leidžiamas. Operatyviojoje atmintyje gali būti pėdsakų, kurių prireiks tyrėjui, o kartais ir raktų. Atjungimas sustabdo plitimą į kitus įrenginius ir į tinklo diską.
• "Atsarginių kopijų diskų nejungti." Diskas, prijungtas prie užkrėsto kompiuterio, taip pat bus užšifruotas. Pirmiausia reikia įsitikinti, kad aplinka švari (pamoka 8.3).
• "Pranešti visada gerai." Darbuotojas, kuris pirmasis kažką pastebi, yra geriausia Jūsų gynyba. Jei jis bijo bausmės, jis delsia, ir Jūs prarandate valandas. Žr. taip pat pamoką 9.2.
• Numeriai popieriuje. Būtent didelio incidento metu Jūsų el. paštas, bendras kalendorius, o kartais ir telefono centralė gali neveikti. Kortelė, esanti tik debesijoje, tada bus nepasiekiama.

Bendrasis skubios pagalbos numeris 112 skirtas tiesioginiam pavojui, tačiau kibernetinė ataka dažniausiai nėra 112 atvejis; pareiškimą dėl incidento galima pateikti per e. policiją (https://www.epolicija.lt/).

Vaidmenys: kas ką daro

Mažoje įmonėje dažnai vienas žmogus atlieka viską. Vis tiek susitarkite dėl trijų vaidmenų, net jeigu du iš jų turi tą patį vardą:

1. Sprendėjas. Sprendžia dėl išjungimo, atkūrimo, pranešimo VDAI, kontakto su banku ir to, ar kviesti išorinį specialistą. Geriausia, kad tai būtų savininkas arba direktorius su nuolatiniu pavaduotoju.
2. Techninė grandis. Jūsų IT paslaugų teikėjas, svetainių kūrėjas arba sumanus kolega. Vykdo tai, ko prašo sprendėjas, ir pataria. Iš anksto susitarkite, ar Jūsų IT paslaugų teikėjas padeda ir incidento atveju, kaip greitai ir kiek tai kainuoja; tai klausimas pamokai 7.2.
3. Komunikatorius. Kalba su klientais, darbuotojais ir, jei reikia, žiniasklaida, kad į viešumą patektų viena bendra istorija. Duomenų saugumo pažeidimo atveju tai apima ir susijusių asmenų informavimą (pamoka 8.2).

Taip pat paskirkite asmenį, kuris ves žurnalą: laiką, kas įvyko, kas ką nusprendė. Tai gali atrodyti biurokratiška, tačiau to reikės pranešimui VDAI (jame klausiama, kada pastebėjote pažeidimą ir ką darėte), draudikui, pareiškimui bei vėlesniam vertinimui.

Planas: po kelias taisykles kiekvienai incidento rūšiai

Be kortelės, parašykite trumpą veiksmų planą kiekvienam dažnai pasitaikančiam incidentui. Pradžiai pakanka keturių:

Taip pat užsirašykite, kurios sistemos svarbiausios, pagal svarbos tvarką. Kepykloje Example, pavyzdžiui, tai: kasa ir mokėjimo terminalas, dienos užsakymai, paštas, apskaita, svetainė. Atkuriant pradedama nuo viršaus. Žr. taip pat RPO ir RTO pamokoje 6.3.

Mokymai: pusvalandis prie stalo

Planas, kurio niekas nežino, neveikia. Tabletop mokymai kainuoja pusvalandį: sėdite prie stalo su žmonėmis, turinčiais vaidmenis, ir žaidžiate scenarijų, nieko realiai neliesdami. Vedėjas (tai galite būti Jūs patys) žingsnis po žingsnio pasakoja, kas vyksta.

Pavyzdys: "Penktadienis, 16:30. Buhalteris gauna laišką iš nuolatinio tiekėjo: IBAN pasikeitė, prašoma šiandien pat pervesti 8 400 eurų neapmokėtą sąskaitą į naują numerį. Ką darote?" O po to: "Pirmadienis. Skambina tiekėjas: jis nieko negavo." Kiekviename žingsnyje klauskite: kas ką daro, kam skambinate, kur tas numeris saugomas?

Baigę užsirašykite, ko trūko. Beveik visada tai būna telefono numeris, slaptažodis, kurį žino tik vienas žmogus, arba neaiškumas, kas sprendžia. Atnaujinkite kortelę ir pažymėkite naują datą. Kartą per metus pasimokyti ir peržiūrėti kortelę yra geras ritmas mažai įmonei, taip pat ir po kiekvieno didesnio pokyčio (naujas IT paslaugų teikėjas, nauja apskaitos programa).

Praktikoje: taip tai atrodo

Į savo kortelę įtraukite ir konkrečias vietas, kuriose galite greitai imtis veiksmų pas savo paslaugų teikėjus. „WebOké“ atveju tai, pavyzdžiui: aktyvių seansų peržiūra ir atsijungimas Mano WebOké, veiksmų planas "Mano svetainė nulaužta" „DirectAdmin“ instrukcijose ir atsarginės kopijos atkūrimas. Pas kitus talpinimo, pašto ir debesijos paslaugų teikėjus yra panašių funkcijų; susiraskite jas, kol dar jų nereikia, ir užsirašykite, kur jos yra.

Santrauka

• Incidentų kortelė (vienas A4 lapas, popieriuje) užtikrina, kad visi pirmosiomis minutėmis darytų tai, kas teisinga: praneštų, atjungtų, bet neišjungtų, nejungtų atsarginių kopijų, nieko nemokėtų.
• Susitarkite dėl vaidmenų: kas sprendžia, kas atlieka techninį darbą, kas komunikuoja, kas tvarko žurnalą.
• Kiekvienam dažnai pasitaikančiam incidentui parašykite trumpą veiksmų planą ir svarbiausių sistemų tvarką.
• Numerius ir planą saugokite ir ne kompiuteryje.
• Kasmet skirkite pusvalandį mokymams prie stalo ir atnaujinkite kortelę.

Testas (quiz)

Užduotis

Užduotis D8.1: Jūsų asmeninė incidentų kortelė. Perimkite šios pamokos šabloną ir užpildykite jį savo įmonei: tikrus vardus, numerius ir vietas. Atspausdinkite ją, pakabinkite ir nusifotografuokite telefonu. Po to su vienu kolega (arba vieni) per ketvirtį valandos pakartokite šios pamokos IBAN scenarijų ir užsirašykite, ko trūko.

Toliau skaitykite

„WebOké“ straipsniuose pateikti žingsniai galioja „WebOké“ aplinkai; pas kitus paslaugų teikėjus veikimo principas panašus.

• DirectAdmin vadovas 18.2: Mano svetainė nulaužta: veiksmų planas
• Pagalba! Mano svetainė nulaužta. Kaip tai išspręsti ir užkirsti kelią?
• WebOké vadovas 3.6: Aktyvių sesijų peržiūra ir atsijungimas
• Nyderlandų NCSC, Ką daryti išpirkos reikalaujančios programos atakos atveju? (nyderlandų kalba): https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Nyderlandų NCSC, Incidentų reagavimo planas išpirkos reikalaujančioms programoms (pdf, nyderlandų kalba): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• Policija, pranešimai per e. policiją: https://www.epolicija.lt/