Načrt za ukrepanje ob incidentu in kartica za ukrepanje ob incidentu

Modul 8: Kadar gre kaj narobe · Čas branja: 10 minut

Cilj lekcije: Po tej lekciji boste znali pripraviti kartico za ukrepanje ob incidentu in preprost načrt za ukrepanje ob incidentu, ki delujeta tudi, če Vaši računalniki, e-pošta in seznam stikov niso dosegljivi.

Ključni pojmi: incident, kartica za ukrepanje ob incidentu, načrt za ukrepanje ob incidentu, vloge, seznam stikov, omejitev škode, ohranjanje dokazov, komuniciranje, hramba zunaj spleta, vaja (tabletop)

Zakaj to uredite zdaj, in ne, ko že gori

Predstavljajte si: ponedeljek zjutraj ob 07.45. Na blagajniškem računalniku pekarne Example se prikaže rdeč zaslon z besedilom, da so vse datoteke šifrirane. Skupna mapa z naročili se ne odpre. Nekdo reče: "Pokličite računalničarja." Toda njegova številka je shranjena med stiki v poštnem predalu, poštni predal pa je na istem računalniku. Nekdo drug želi računalnik takoj izklopiti. Tretji začne priklapljati disk z varnostno kopijo, da bi "vse obnovil".

Vse tri reakcije so razumljive, dve od njih pa stanje poslabšata. Tako se zgodi skoraj vedno: pod pritiskom ljudje naredijo tisto, kar jim prvo pade na misel. Incident je vsak dogodek, ki ogroža razpoložljivost, zanesljivost ali zaupnost Vaših podatkov ali sistemov: vdrt poštni račun, izsiljevalsko programje (ransomware), izgubljen prenosnik, e-pošta s podatki strank, poslana napačni osebi, prevzeta spletna stran.

Namen načrta ni, da bi vse poteklo brez napak. Namen je, da v prvi uri ne naredite napak, ki jih ne morete več popraviti, in da veste, koga morate poklicati.

Kartica za ukrepanje in načrt za ukrepanje: razlika

Za podjetje z dvema do dvajsetimi zaposlenimi je kartica najpomembnejša. Načrt je lahko kratek. Nizozemski NCSC je za izsiljevalsko programje pripravil obsežen načrt za odzivanje na incidente (glejte Za dodatno branje); tega lahko uporabite kot izhodišče in ga skrajšate.

Kaj je na kartici za ukrepanje ob incidentu

Dobra kartica odgovori na pet vprašanj. Spodaj je predloga, ki jo lahko prevzamete.

KARTICA ZA UKREPANJE OB INCIDENTU  Pekarna Example    verzija: 1   datum: ..-..-....

1. OPAZITE KAJ NENAVADNEGA?  (rdeč zaslon, čudna poslana e-pošta, prijava ne uspe,
   neznano plačilo, izgubljen prenosnik, podatki poslani napačnemu prejemniku)
   -> TAKOJ sporočite: ............................  tel: ...............
      Rezerva: ..........................................  tel: ...............
   Prijava je vedno prav. Nihče ne bo kriv.

2. PRVI KORAKI (ne popravljajte sami)
   [ ] Izklopite omrežni kabel / wifi / letalski način. NE izklopite naprave.
   [ ] Odklopite USB-ključe in diske z varnostnimi kopijami. NE priklopite jih.
   [ ] Fotografirajte zaslon (s telefonom).
   [ ] Zapišite: čas, kaj ste videli, kaj ste storili.
   [ ] Ne plačujte, ne odzivajte se izsiljevalcu.

3. KOGA POKLIČEMO?
   Pomoč za IT / skrbnik   ............................  tel: ...............
   Gostovanje / e-pošta    ............................  tel: ...............
   Banka (goljufija, 24/7) ............................  tel: ...............
   Zavarovalnica (kibernetsko) ......................  polica: .............
   Policija (ovadba)       113 ali 112
   Prijava kršitve varstva podatkov  https://www.ip-rs.si/ (v 72 urah)
   Pomembna stranka/dobavitelj: ...................  tel: ...............

4. KDO ODLOČA IN KDO GOVORI?
   Odloča (izklop, obnovitev, prijava, plačilo): ..........................
   Govori s strankami, mediji, zaposlenimi: ........................................
   Vodi dnevnik: .....................................................

5. KJE KAJ NAJDETE?
   Varnostne kopije: .............................. (zadnji test: ..-..-....)
   Nujni dostop do upravitelja gesel: ...........................................
   Seznam sistemov in računov: ..........................................
   Ta načrt (digitalno) + kopija zunaj podjetja: ..............................

Nekatere odločitve v tej predlogi si zaslužijo razlago.

• "Ne izklopite, odklopite pa." Pri izsiljevalskem programju nizozemski NCSC svetuje, da prizadeto napravo takoj odklopite od omrežja (kabel, wifi, mobilno omrežje), vendar je ne izklopite; mirovanje (slaapstand) je dovoljeno. V delovnem pomnilniku so sledi, ki jih lahko potrebuje preiskovalec, včasih celo ključi. Odklop ustavi širjenje na druge naprave in na omrežni disk.
• "Diskov z varnostnimi kopijami ne priklapljajte." Disk, ki ga priklopite na okužen računalnik, bo tudi sam šifriran. Najprej mora biti zagotovljeno, da je okolje čisto (lekcija 8.3).
• "Prijava je vedno prav." Zaposleni, ki prvi opazi težavo, je Vaša najboljša obramba. Če se boji grajе, bo čakal in boste izgubili dragocene ure. Glejte tudi lekcijo 9.2.
• Številke na papirju. Prav pri velikem incidentu Vaša e-pošta, skupni koledar in včasih tudi telefonska centrala ne delujejo. Kartica, ki je shranjena samo v oblaku, je tedaj nedosegljiva.

Na voljo so številke policije in nujne pomoči (113 ali 112); pri neposredni nevarnosti pokličite 113 ali 112, kibernetski napad pa običajno ni nujen primer.

Vloge: kdo kaj naredi

V majhnem podjetju pogosto vse opravi ena oseba. Kljub temu določite tri vloge, tudi če ju zasede ista oseba:

1. Odločevalec. Odloča o izklopu, obnovitvi, prijavi Informacijskemu pooblaščencu, stiku z banko in o tem, ali je potreben zunanji strokovnjak. Najbolje lastnik ali direktor, s stalnim namestnikom.
2. Tehnična podpora. Vaš ponudnik IT storitev, izdelovalec spletne strani ali spreten sodelavec. Izvaja naloge, ki jih zahteva odločevalec, in svetuje. Vnaprej se dogovorite, ali Vam ponudnik IT storitev pomaga tudi ob incidentu, kako hitro in koliko to stane; to je vprašanje za lekcijo 7.2.
3. Komunikator. Govori s strankami, zaposlenimi in po potrebi mediji, tako da navzven pride ena sama zgodba. Pri kršitvi varstva podatkov sodi sem tudi obveščanje posameznikov, na katere se podatki nanašajo (lekcija 8.2).

Določite tudi nekoga, ki vodi dnevnik: čas, kaj se je zgodilo, kdo je kaj odločil. To se zdi birokratsko, vendar ga potrebujete za prijavo Informacijskemu pooblaščencu (ta vpraša, kdaj ste kršitev odkrili in kaj ste storili), za zavarovalnico, za ovadbo in za poznejšo analizo.

Načrt: za vsako vrsto incidenta nekaj pravil

Poleg kartice napišite za vsak pogost incident kratek postopek. Za začetek zadostujejo štirje:

Zapišite tudi, kateri sistemi so najpomembnejši, po vrstnem redu. Pri pekarni Example so to na primer: blagajna in plačilni terminal, današnja naročila, e-pošta, računovodstvo, spletna stran. Pri obnovitvi začnete pri vrhu. Glejte tudi RPO in RTO v lekciji 6.3.

Vaja: pol ure za mizo

Načrt, ki ga nihče ne pozna, ne deluje. Vaja za mizo (tabletop) traja pol ure: skupaj z osebami, ki imajo določeno vlogo, sedite za mizo in odigrate scenarij, ne da bi se dejansko kaj dotaknili. Voditelj vaje (to ste lahko tudi Vi) korak za korakom pripoveduje, kaj se dogaja.

Primer: "Petek, 16.30. Računovodja prejme e-pošto stalnega dobavitelja: IBAN se je spremenil, odprti račun v višini 8.400 evrov naj se danes nakaže na novo številko. Kaj storite?" In nato: "Ponedeljek. Dobavitelj pokliče: ničesar ni prejel." Pri vsakem koraku vprašajte: kdo kaj naredi, koga pokličete, kje je ta številka zapisana?

Po vaji zapišite, kaj je manjkalo. Skoraj vedno je to telefonska številka, geslo, ki ga pozna samo ena oseba, ali nejasnost o tem, kdo odloča. Popravite kartico in nanjo zapišite nov datum. Vaja enkrat letno in pregled kartice sta za majhno podjetje dober ritem, prav tako po vsaki večji spremembi (nov ponudnik IT storitev, nov računovodski program).

V praksi: tako to izgleda

Na kartico vključite tudi konkretna mesta, kjer lahko hitro ukrepate pri svojih ponudnikih. Pri WebOké je to na primer: pregled in odjava aktivnih sej v Moj WebOké, navodila po korakih "Moja spletna stran je vdrta" v priročniku za DirectAdmin ter obnovitev varnostne kopije. Pri drugih ponudnikih gostovanja, e-pošte in oblačnih storitev obstajajo podobne funkcije; poiščite jih, preden jih boste potrebovali, in zapišite, kje se nahajajo.

Povzetek

• Kartica za ukrepanje ob incidentu (en list A4, na papirju) poskrbi, da vsi v prvih minutah ravnajo pravilno: prijava, odklop brez izklopa, varnostnih kopij ne priklapljajte, ničesar ne plačujte.
• Določite vloge: kdo odloča, kdo opravlja tehnično delo, kdo komunicira, kdo vodi dnevnik.
• Za vsak pogost incident zapišite kratek postopek in vrstni red Vaših najpomembnejših sistemov.
• Številke in načrt hranite tudi zunaj svojih računalnikov.
• Vsako leto izvedite polurno vajo za mizo in posodobite kartico.

Kviz

Naloga

Naloga D8.1: Vaša lastna kartica za ukrepanje ob incidentu. Prevzemite predlogo iz te lekcije in jo izpolnite za svoje podjetje: prava imena, številke in lokacije. Natisnite jo, obesite na vidno mesto in naredite fotografijo za telefon. Nato s sodelavcem (ali sami) v četrt ure odigrajte scenarij s spremenjenim IBAN-om iz te lekcije in zapišite, kaj Vam je manjkalo.

Za dodatno branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik DirectAdmin 18.2: Moje spletno mesto je vdrto: načrt korakov
• Pomoč! Moja spletna stran je bila vdrta. Kako to rešim oziroma preprečim?
• Priročnik WebOké 3.6: Prikaz in odjava aktivnih sej
• Nizozemski NCSC, Kaj storiti ob napadu z izsiljevalskim programjem?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Nizozemski NCSC, Načrt za odzivanje na incidente z izsiljevalskim programjem (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• No More Ransom, orodja za dešifriranje in nasveti pri izsiljevalskem programju: https://www.nomoreransom.org/sl/index.html