Piątek, 15:00. CISO puka i mówi »mamy problem«. Co Ty na to?

Jest piątek, godzina 15. Właśnie pakujecie swoje rzeczy, żeby jak najszybciej wyjechać z dziećmi i partnerem/ką na wyczekiwany odpoczynek. I nagle "bum". Przychodzi CISO (człowiek odpowiedzialny za bezpieczeństwo informacji) i mówi - mamy problem, poważny.

Brzmi jak koszmar, którego chcielibyśmy uniknąć, ale niestety również dość powszechny. Szczególnie jeżeli zostaliśmy obrani za cel cyberataku. Piątek jest idealnym momentem, aby zrealizować ostatni etap tzw. Cyber Kill Chain (typowego procesu ataku), czyli etap działania, w którym adwersarz (atakujący) ujawnia swoją obecność oraz powód dla którego nas zaatakował. Dlaczego piątek? Bo mamy mało czasu (i dostępnych ludzi), żeby racjonalnie podejść do oceny sytuacji. I często podejmujemy wtedy nie do końca dobre i optymalne dla nas decyzje.

Typowy proces Cyber Kill Chain - wygenerowany przez Opus 4.8 Max

Zanim jednak przejdziemy do tematu, kilka, nomen omen, komunikatów o legalarchitect.pl:

szkolenie dla AI Governance Officer'ów w dniach 8 i 21 lipca z ceną specjalną -15% [ kliknij tutaj, aby skorzystać ze zniżki na termin 8 lipca] [w ramach szkolenia m.in. dostęp do wybranych szablonów dokumentów], pojawiła się nowa funkcjonalność " Kompetencje AIGO & Counsel AI ", która pozwala na ocenę obecnych kompetencji oraz pozyskanie nowych, odświeżona szata graficzna gry Wydaj AI, w której wcielasz się w różne role i przechodzisz proces wdrożenia systemu AI,
• szykuje się nowe narzędzie do zarządzania ryzykiem AI, które pokażę w ramach najbliższego szkolenia.

Wróćmy jednak do koszmarów.

Nasz mały koszmar może zamienić się w coś więcej, jeżeli nie dysponujemy odpowiednimi rozwiązaniami w zakresie bezpieczeństwa informacji, co jest dość powszechne, gdy nie jesteśmy (albo tak myślimy) adresatami np. ustawy o krajowym systemie cyberbezpieczeństwa (implementacja NIS2) czy DORA. Innymi słowy nie mamy przymusu posiadania systemu zarządzania bezpieczeństwem informacji, który przy dobrych wiatrach i poważnym potraktowaniu może nas nieźle ochronić przed ryzykami, które generuje obecność w świecie cyfrowym.

Oczywiście nie jest tak, że wszyscy to ignorują. Są organizacje, które pomimo braku "bata" realizują obowiązki związane z zabezpieczeniem informacji przed utratą czy wyciekiem, bo rozumieją powagę zagrożenia lub też realizują obowiązki wynikające z RODO, które właściwie często są ze sobą zbieżne. Ale niekoniecznie tożsame. Stąd też część organizacji tworzy np. swoje własne rozwiązania organizacyjne i techniczne bazując np. na ISO 27001 i 22301. To ważne standardy, które są jednak tylko standardami, a ich "wdrożenie"...

... nie oznacza jeszcze, że jesteśmy odporni.

To jednak odrębny temat, do którego jeszcze pewnie wrócimy. Jesteśmy postawieni w sytuacji z początku felietonu. Musimy podjąć konkretne decyzje, w konkretnym czasie, bo cyberatak zmierza do ujawnienia naszych cennych danych lub ich utraty. Każda sytuacja jest dla nas równie nieprzyjemna i może się wiązać z ryzykiem reputacyjnym, stratami finansowymi czy niemożliwością prowadzenia działalności biznesowej. Jednym słowem - konkretnej wtopy.

Co robisz?

• otwierasz puszkę pandory i komunikujesz wszystkim (w tym swoim klientom), że jest ogromny problem i dopiero bierzesz się do pracy?
• prosisz o raport dotyczący incydentu, w tym informacje o jego prawdopodobnych skutkach (jakie informacje mogą "ponieść szkodę", jakie są rozmiary zagrożenia i jak możemy temu zaradzić)?
• prosisz CISO, aby sam zajął się problemem, a samemu udaje się na wyczekiwany urlop?

Z takim problemem możesz zmierzyć się w mojej grze, w której realizujesz realny scenariusz, z którym zderzyliśmy się ostatnio przy okazji "nagłej" decyzji o zablokowaniu dostępu do jednego z modeli LLM. Tutaj jednak nie czas na gry, a konkretne decyzje.

Zakładam, że wybrałeś/aś opcję drugą i zagłębiasz się właśnie w szczegółowe informacje dotyczące tego co się wydarzyło i jakie powinieneś/aś podjąć dalsze kroki. To moment często krytyczny, także w kontekście prawno-regulacyjnym. Prawidłowe zidentyfikowanie i oszacowanie ryzyka oraz konkretnych aspektów incydentów może być podstawą do zrealizowania obowiązków raportowych, np. do Urzędu Komisji Nadzoru Finansowego czy CSIRT. To też ważna część naszego systemu zarządzania bezpieczeństwem informacji, który musi być przemyślany, aby nie raportować spraw niepotrzebnych, a tylko tych, które wymagają działania "ponadorganizacyjnego".

Tak czy inaczej, stoisz przed ważną decyzją o tym co zrobić dalej. A to dalej może mieć konkretne konsekwencje i reperkusje.

No, ale oczywiście nie możemy zająć się wszystkim w krótkim felietonie, więc spójrzmy na wycinek. Komunikację. Tę którą prowadzimy wewnątrz organizacji i tą zewnętrzną, ale z pominięciem obowiązków raportowych w zakresie incydentów, np. poważnych czy istotnych. Spójrzmy sobie na dwa dokumenty. Najpierw ISO 27001:

ISO 27001

Musimy więc pomyśleć o jakiejś polityce, procesie i być może nawet procedurze. W praktyce tworzy się politykę szczegółową, a więc stanowiącą element całego systemu zarządzania bezpieczeństwem informacji. Zawiera ona wiele elementów, w tym odnoszących się do wymiany informacji pomiędzy właściwymi jednostkami, ale także określa nam zasady przekazywania informacji np. do naszych klientów, którzy mogą być w jakiś sposób poszkodowani wystąpieniem incydentu - np. ich dane trafiły do nieuprawnionej strony trzeciej, ale też np. nie mogą skorzystać z naszych usług, bo zwyczajnie nie działa ; )

Spójrzmy także na art. 14 DORA, który wymaga od instytucji finansowych podobnych działań:

Zwróć uwagę, że mówimy tutaj o ODPOWIEDZIALNYM ujawnianiu informacji, a dodatkowo posiadaniu strategii komunikacyjnej i odpowiedzialnej osoby za ten obszar. To wskazuje na krytyczność komunikacji w zakresie incydentów w zakresie bezpieczeństwa informacji.

Wróćmy więc do naszego scenariusza bazowego.

Z raportu, który otrzymałeś/aś od CISO wynika, że na skutek skutecznych działań w ramach kampanii phishingowej grupa hakerów z państwa trzeciego uzyskała dostęp do baz danych zawierających listy klientów wraz z ich danymi wrażliwymi (w tym numerami kart płatniczych) oraz pracowników na potrzeby bieżącej działalności operacyjnej. Mało tego, weszli też w posiadanie tajemnic przedsiębiorstwa - praktycznie całego know-how organizacji, które daje jej przewagę nad konkurentami.

Na szczęście, o ile można tutaj mówić o szczęściu, udało się zablokować dalsze działania adwersarzy i nie doszło do blokady zasobów. Po prostu zreplikowano bazy danych i teraz hakerzy przesłali próbkę (na dowód) informacji, które zamierzają ujawnić dalej - zarówno publicznie (cios dla naszej reputacji), jak i w darknecie do wykorzystania przez innych.

Sam/a już nie wiesz co robić, ale musisz podjąć decyzję. Prosisz więc swojego CISO, eksperta od zarządzania ryzykiem, przedstawiciela działu IT oraz oczywiście Inspektora Ochrony Danych i działy wsparcia, w tym prawny i compliance o pilne spotkanie i zaplanowanie działań. Dział komunikacji dostaje zadanie przygotowania spójnego komunikatu, który pewnie będzie mocno cyzelowany. Musi być przemyślany.

Zasadniczo mamy kilka obszarów komunikacji, które musimy pokryć, tj.:

• komunikację bieżącą na temat działań związanych z incydentem, w tym eliminacji jego skutków, ale też np. kontaktów z adwersarzami (np. zapłacenie okupu lub spełnienie innych żądań); tutaj powinniśmy mieć wyznaczoną osobę, która pełni też rolę koordynatora,
• komunikację i spotkania wewnętrzne w zakresie oceny incydentu i ewentualnych zmian w jego poziomie,
• komunikację wewnętrzną do pracowników, którym trzeba zakomunikować, że "coś się stało",
• komunikację zewnętrzną do użytkowników/klientów, którzy mogą być objęci skutkami incydentu, w tym np. w związku z naruszeniem RODO,
• komunikację do organów, w tym Urzędu Ochrony Danych, organów sektorowych czy właściwych CSIRT, ale także np. Policji,
• komunikację do mediów, która musi być przejrzysta, jasna i rzetelna.

Odrębnym tematem jest komunikacja "ciągła" w zakresie m.in. cyberzagrożeń i cyberhigieny, do której zobowiązuje nas chociażby ustawa o krajowym systemie cyberbezpieczeństwa:

Wygląda więc na to, że wyczekiwany urlop może być zagrożony. Z hakerami się nie negocjuje (a już na bank nie płaci, bo czasami może to być w ogóle nielegalne), ale przecież nie jest tak, że zupełnie ignorujemy żądania bez rzetelnej oceny potencjalnych skutków.

W tym wszystkim jakość komunikacji ma kolosalne znaczenie. To jak zaplanujemy treści będzie miało znaczenie w kontekście odbioru tego co się stało. Może to być dla nas prawdziwe wyzwanie, jeżeli wzbudzimy w odbiorcach strach i obawę o nich samych. I dlatego tak ważne jest, aby za wczasu się na to przygotować. Nawet jeżeli dzisiaj nie czujemy się zagrożeni. To nasza odpowiedzialność - za organizację, pracowników i klientów.

Wyobraź sobie, że nie masz polityki, planu i procesu, a CISO to w rzeczywistości Twój znajomy współpracujący z organizacją "na B2B". W takiej sytuacji robi się naprawdę gorąco. Dlatego odpowiednie przygotowania i myślenie w kategoriach "co by było gdyby" jest naprawdę potrzebne. Może nie musisz robić stress testów/testów penetracyjnych, może nie musisz tworzyć bardzo rozbudowanego systemu zarządzania bezpieczeństwem informacji, ale... miej cokolwiek. Punkt odniesienia. To naprawdę dużo i zrzuci z Twoich barków wiele stresów.

A jeżeli jesteście adresatami NIS2? No cóż, po prostu musicie to zrobić.