klausimynas klausia, kaip reaguojame į šantažo programos ataką

Šantažo malvaris patenka į incidento valdymą, o ne tik į tęstinumą

Klausimas apie šantažo malvarį paprastai testuoja jūsų atsakymo procedūrą, o ne jūsų techniką. Klientai nori pamatyti, kad yra nustatytas procesas: aptikti, apriboti, atkurti ir pranešti atitinkamoms šalims. Tai yra lygiai tokia pati procedūra dėl saugumo incidentų iš NIS2 21 straipsnio 2 dalies b punkto — jei aprašėte tą procedūrą, naudokite tą tekstą čia, o ne atskirą šantažo malvario skyrių. Atskira šantažo malvario politika nėra reikalavimas; incidento procedūra, kuri šantažo malvarį nustato kaip scenarijų, paprastai pakanka.

Tai, kas dažnai klausiama atskirai, yra atkūrimo dalis: ar galite iš naujo paleisti paslaugą nemokėdami išpirkos. Tai priklauso nuo atsarginių kopijų ir pagrindinės infrastruktūros paslaugų teikimui atkurti — to paties sąrašo c punktas, verslo tęstinumas ir krizių valdymas. Jei neturite neseniai testuotos atsarginės kopijos atkūrimo, tada atsakymas į šantažo malvario scenarijų iš esmės yra silpnas, net jei jūsų incidento procesas teorijoje teisingas. Atsakykite į šią dalį tik tada, kai žinote, ar buvo atliktas paskutinis atkūrimo testas ir kada.

Kur tai tiksliai yra: NIS2 21 straipsnio 2 dalis, b ir c punktai

NIS2 21 straipsnio 2 dalis nurodo dešimt priemonių, kurias turi imtis subjektas; b punktas yra incidento valdymas, c punktas yra verslo tęstinumas, įskaitant atsarginių kopijų valdymą ir katastrofų atkūrimą. Šantažo malvario ataka paveikia abu: aptikimas ir atsakas patenka į b punktą, atkūrimas be atakuojančiojo mokėjimo patenka į c punktą. Kibernetinio saugumo įstatyme — Nyderlandų NIS2 pergyvendinime, kuris įsigali 2026 m. rugpjūčio 15 d. — šie įsipareigojimai grįžta subjektams, kuriems taikomas šis įstatymas; im tuo atveju, kai abejojate, nes tai nulemia, ar tai yra pareiga, ar tik kliento tikimybė. Jei dirbate su ISO 27001, ekvivalentas yra Priede A: A.5.24–A.5.26 incidento valdymui, A.5.29 ir A.5.30 tęstinumui ir katastrofų atkūrimui. Jei jūs to nė vieno formaliai nedarote, tada sąžiningiausias atsakymas yra, kad jūs turite neoficialų požiūrį ir jokios dokumentuotos procedūros — tai yra kitas atsakymas nei „taip ar pati įmonė patenka į NIS2 direktyvą arba jos nacionalinį diegimą}; ir šis skirtumas yra vertas to, kad jį išlaikytumėte.