kyselylomake kysyy, kuinka reagoimme kiristyshyökkäykseen

Kiristysohjelma kuuluu poikkeamien hallintaan, ei pelkästään jatkuvuuteen

Kiristysohjelmaakoskeva kysymys testaa yleensä vasteproseduuria, ei tekniikkaa. Asiakkaat haluavat nähdä, että on olemassa dokumentoitu prosessi: havaitseminen, rajoittaminen, palautus ja ilmoittaminen asianomaisille osapuolille. Se on täsmälleen NIS2-direktiivin 21 artiklan 2 kohdan b alakohdan mukainen turvallisuuspoikkeamien käsittelyprosessi — jos olet kuvannut kyseisen menettelyn, käytä sitä tekstiä tässä, ei erillistä kiristysohjelma-osiota. Erillinen kiristysohjelma-käytäntö ei siis ole vaatimus; poikkeamien käsittelyprosessi, joka nimeää kiristysohjelmat skenaarioksi, on yleensä riittävä.

Mitä usein kysytään erikseen, on palautus-osuus: voit käynnistää palvelun uudelleen maksamatta vaatimuksesta. Se kuuluu varmuuskopioihin ja palvelun toimittamisen palauttamisen hätävalmistelun — saman luettelon c-kohtaan, liiketoiminnan jatkuvuuteen ja kriisinhallintaan. Jos sinulla ei ole äskettäin testattua varmuuskopion palautusta, vastaus kiristysohjelmaskenaarioon on käytännössä heikko, vaikka poikkeamaprosessisi paperilla toimii. Vastaa tälle osuudelle vasta, kun tiedät, onko viimeinen palautustesti suoritettu ja milloin.

Missä se tarkalleen sijaitsee: NIS2-direktiivin 21 artiklan 2 kohdan b ja c alakohta

NIS2-direktiivin 21 artiklan 2 kohta nimeää kymmenen toimenpidettä, jotka yhteisön on toteutettava; b-alakohta on poikkeamien hallinta, c-alakohta on liiketoiminnan jatkuvuus mukaan lukien varmuuskopion hallinta ja häiriöntilanteiden palautus. Kiristysohjelmaiskua koskevat molemmat: tunnistaminen ja vaste kuuluvat b-kohtaan, palautus ilman hyökkääjälle maksamista kuuluu c-kohtaan. Kansallisessa kyberturvallisuuslaissa — NIS2-direktiivin Suomen täytäntöönpanossa, joka tulee voimaan 15. elokuuta 2026 — nämä velvoitteet ovat läsnä entiteeteille, jotka kuuluvat lain piiriin; tarkista epäiltyjen tapauksissa yritys itse NIS2-direktiivin tai sen kansallisen täytäntöönpanon soveltamisalalla, koska se määrittää, onko tämä velvoite vai vain asiakkaiden odotus. Jos työskentelet ISO 27001 -standardin kanssa, vastaava sisältö on liitteessä A: A.5.24–A.5.26 poikkeamanhallinnalle, A.5.29 ja A.5.30 jatkuvuudelle ja häiriöntilanteiden palautukselle. Jos sinulla ei ole kumpaakaan muodollisesti dokumentoitu, rehellisesti sanottuna sinulla on epävirallinen lähestymistapa ja ei dokumentoitua menettelyä — se on eri vastaus kuin "kyllä", ja sillä on merkitystä säilyttää tämä ero.