Инцидент в два часа ночи. Кто узнает о нём первым, кто решит отключить сегмент сети, где лежат резервные копии? Исход первых суток во многом решается заранее.
План на первые сутки
Что эффективнее — защищаться или минимизировать последствия? На мой взгляд, хорошая схема защиты делает и то и другое: мешает злоумышленнику попасть во внутренний контур и ограничивает ущерб, если он всё же попал.
Её продолжение — план реагирования. В нём заранее записано, кто узнаёт об инциденте первым, кто принимает решение изолировать сегмент, где лежат резервные копии и как быстро из них можно подняться. И кто уведомляет регулятора: об утечке персональных данных Роскомнадзор нужно уведомить в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов.
Как заходят
Самые опасные входы в компанию годами одни и те же: действия мотивированных инсайдеров, электронная почта, скомпрометированные учётные данные и заражение вредоносным ПО. Дальше развиваться атаке помогают две простые вещи: небрежность в базовых технических нормах безопасности и отсутствие работы с грамотностью сотрудников.
Люди — первая линия
Главная задача мошенника — вывести человека из равновесия, чтобы он ошибся: срочно перевёл деньги, открыл вложение, ввёл пароль. Подготовленный сотрудник с развитым критическим мышлением действует по алгоритму. Правило простое: есть сомнение — остановиться и спросить себя: «А возможно ли это?» Такая привычка вырабатывается обучением, и методы здесь стоит сочетать: занятия, учебные события, поощрения тех, кто соблюдает правила.
Где атаку можно остановить
Периметр защищают в первую очередь: сервисы, открытые в интернет, не должны быть лёгкой добычей. Защита изнутри нужна не меньше. Огромное количество атак можно было бы остановить на полпути, будь у компании контроль внутреннего трафика или ловушки для злоумышленника. Такие системы сразу замечают подозрительную активность во внутренней сети и мешают атакующему расползаться по ней.
Кто работает ночью
Атаки не ждут рабочего времени. Чтобы следить за инфраструктурой в режиме 24/7/365, нужно минимум шесть специалистов. К их зарплате добавляются SIEM, сканер уязвимостей, антивирус, обучение и повышение квалификации. Всё это полезно сравнить с ценой услуги коммерческого центра мониторинга (SOC). Для малого и среднего бизнеса аутсорсинг часто оказывается разумным выбором.
Выбирая подрядчика, стоит внимательно его изучить: партнёров, заказчиков, лицензии (например, лицензию ФСТЭК на техническую защиту конфиденциальной информации). Попросить отзывы его клиентов — для добросовестного исполнителя это обычная практика. Условия сервиса нужно зафиксировать в соглашении об уровне обслуживания (SLA) и обязательно наладить прямой контакт между вашим ИТ и специалистами исполнителя.
Если тяжёлая атака уже случилась, на рынке есть и такие услуги: временный руководитель ИБ для антикризисных мер или целая команда для восстановления.
Самопроверка
Задайте себе два вопроса: «Есть ли у вас актуальный план реагирования на инциденты?» и «Насколько вы уверены, что сможете восстановить работу компании после серьёзного инцидента?» Если на оба приходится отвечать с оговорками, с этого стоит начинать. На интенсиве каждый участник получает по своей компании карту рисков, список первоочередных мер и план развития ИБ.