Vprašalnik prosi, kako reagiramo na napad s programsko opremo za izsiljenje

Vohunjska programska oprema spada pod obravnavo incidentov, ne le pod kontinuiteto

Vprašanje o vohunjski programski opremi običajno preverja vašo odzivno proceduro, ne vašo tehniko. Stranke želijo videti, da je vzpostavljen proces: zaznati, omejiti, obnoviti in obvestiti pristojne strani. To je natanko procedura za varnostne incidente iz člena 21, odstavka 2, točke b NIS2 — če ste to proceduro opisali, uporabite to besedilo tukaj, ne ločenega odstavka o vohunjski programski opremi. Posebna politika za vohunjsko programsko opremo torej ni zahtevana; procedura za obravnavo incidentov, ki vohunjsko programsko opremo imenuje kot scenarij, je običajno dovolj.

Kar se pogosto sprašuje ločeno, je del za obnovitev: ali lahko ponovno zaženete storitev brez plačila odkupnine. To spada pod varnostne kopije in nujni ukrep za obnovitev opravljanja storitve — točko c istega seznama, kontinuiteto poslovanja in upravljanje s krizo. Če nimate nedavno preizkušene varnostne kopije in obnove, je odgovor na scenarij vohunjske programske opreme dejansko šibak, tudi če vaš proces za obravnavo incidentov na papirju drži. Odgovorite na ta del šele, ko veste, ali je bila zadnja preizkušnja obnove opravljena in kdaj.

Točna lokacija tega: člen 21, odstavek 2, točki b in c

Člen 21, odstavek 2 NIS2 navaja deset ukrepov, ki jih mora sprejeti entiteta; točka b je obravnava incidentov, točka c pa kontinuiteta poslovanja, vključno s upravljanjem varnostnih kopij in okrevanjem v primeru katastrofe. Napad z vohunjsko programsko opremo se dotika obojega: zaznava in odziv spadajo pod b, obnovitev brez plačila napadalcu pa spada pod c. V Zakonu o kibernetski varnosti — slovenski prenos NIS2, ki začne veljati 15. avgusta 2026 — se te obveznosti pojavljajo za entitete, ki spadajo pod zakon; preverite, ali je to v primeru dvoma je podjetje samo pod direktivo NIS2 ali njeno nacionalno izvedbo– to določa, ali gre za obveznost ali le za pričakovanje stranke. Če delate z ISO 27001, je enakovredno v Prilogi A: A.5.24 do A.5.26 za upravljanje incidentov, A.5.29 in A.5.30 za kontinuiteto in okrevanje v primeru katastrofe. Če niste formalnih postaviti nič od obojega, je najiskrenejši odgovor, da imate neformalen pristop in nobenega dokumentiranega postopka — to je drugačen odgovor kot "da", in koristna je ta razlika.