De fleste IT-beredskabsplaner handler om at få driften op at køre igen. Det er rigtigt, men de mangler ofte ét afsnit: hvordan I sikrer sporene, før de bliver ryddet væk. Det afsnit kan skrives på én side. Det skal sige, hvem der beslutter at bevare, hvad der skal sikres først, hvad der ikke må gøres, og hvem der skal kontaktes. Så kan I genoprette driften uden at miste det, der senere skal bruges over for forsikringen, kunder eller en modpart.
Har I ingen beredskabsplan, kan afsnittet stadig bruges. Det er en god begyndelse.
Hvorfor genopretning og beviser støder sammen
Når noget går galt, er det naturlige første skridt at rydde op: geninstallere computere, gendanne fra backup, nulstille adgangskoder og slette de mærkelige filer. Alt sammen er nødvendigt. Men hvert skridt kan fjerne spor af, hvad der er sket, hvordan angriberen kom ind, og hvad der er taget.
Senere skal I måske kunne svare forsikringsselskabet, Datatilsynet, kunderne eller jeres IT-leverandør på præcis de spørgsmål. Og hvis svaret er “det ved vi ikke, vi ryddede op”, står I svagt. → Bevissikring efter et cyberangreb
Løsningen er ikke at vente med genopretningen. Det er at sikre de vigtigste spor først, i en fast rækkefølge, som alle kender på forhånd.
Skabelon: afsnittet om bevissikring
Her er et forslag til, hvad afsnittet kan indeholde. Tilpas det til jeres virksomhed.
1. Hvem beslutter
Skriv, hvem der kan beslutte, at der skal sikres spor, og at genopretning skal vente kort, til det vigtigste er sikret. Skriv navn, telefonnummer og en stedfortræder. Det bør være en fra ledelsen, ikke kun IT.
2. De første ti skridt
- Notér tidspunkt og hvad der er set, og af hvem.
- Afbryd netværksforbindelsen på ramte computere, men sluk dem ikke, hvis det kan undgås.
- Tag billeder af skærme med beskeder eller løsepengekrav.
- Stop automatisk sletning og oprydning, herunder backuprotation.
- Eksportér logs fra mail, cloud, firewall og VPN, før de overskrives.
- Dokumentér mailregler, nye brugere og ændrede rettigheder, før de fjernes.
- Læg ramte computere til side, i stedet for at geninstallere dem med det samme, hvis I kan undvære dem.
- Før en log over alt, hvad der gøres, hvornår og af hvem.
- Underret forsikringsselskabet efter policens krav.
- Kontakt advokat og IT-sagkyndig, hvis hændelsen kan få retlige følger.
3. Det, der ikke må gøres
- Sluk ikke for alt på én gang uden at have tænkt over, hvad der går tabt.
- Geninstallér ikke ramte computere, før det er besluttet, om de skal sikres.
- Slet ikke konti, regler eller filer, før de er dokumenteret.
- Kommunikér ikke med en angriber uden rådgivning.
- Lad ikke den, der kan være involveret, stå for sikringen.
4. Kontaktliste
Advokat, IT-leverandør, forsikringsselskab, evt. IT-sagkyndig og den, der er ansvarlig for persondata. Med telefonnumre, der kan bruges uden for arbejdstid.
5. Hvor planen ligger
Mindst ét sted uden for jeres egne systemer. En udskrift i en skuffe er ikke gammeldags. Det er den eneste kopi, der virker, når alt andet er nede.
Bevisloggen
Afsnittet bør henvise til en enkel log, hvor alle skridt noteres: hvad der er sikret, hvornår, af hvem, og hvor det ligger. Det er den, der senere viser, at I har håndteret sporene ordentligt, og at intet er ændret undervejs. → Skabelon til intern log over beviser
Forsikringen stiller ofte krav
Har I en cyberforsikring, så læs policen sammen med planen. Mange policer stiller krav om, hvornår forsikringsselskabet skal underrettes, og om at bestemte skridt ikke må tages uden selskabets accept. Nogle selskaber har deres egne beredskabsleverandører, som de vil have ind over. Står det ikke i planen, risikerer I at gøre det rigtige i den forkerte rækkefølge og få en diskussion om dækningen bagefter.
Skriv policenummer, selskabets hotline og fristen for underretning direkte ind i kontaktlisten. Skriv også ned, hvem hos jer der har ansvaret for at ringe, og hvad der skal oplyses i det første opkald. → Underret forsikringsselskabet
Hvem gør hvad
- Ledelse · Beslutter, prioriterer og kommunikerer
- IT eller IT-leverandør · Isolerer, eksporterer logs, genopretter
- Økonomi · Underretter forsikring, tjekker betalinger
- HR · Informerer medarbejdere, når det er afklaret
- IT-sagkyndig · Sikrer spor uvildigt, når sagen kan få følger
Rollerne kan godt være samlet hos få personer i en lille virksomhed. Det vigtige er, at det er aftalt, og at hver rolle har en stedfortræder. I en lille virksomhed er det ofte den samme person, der både skal beslutte, tale med kunderne og svare forsikringen. Skriv derfor ned, hvem der kan overtage, hvis den person er syg, på ferie eller selv er en del af sagen.
Det skal I lade være med
- Lad være med at skrive afsnittet så langt, at ingen læser det. Én side er nok.
- Lad være med at gøre IT-leverandøren til eneste ansvarlige. Leverandøren skal genoprette, og det er ikke altid i leverandørens interesse at dokumentere, hvordan angrebet lykkedes.
- Lad være med at glemme kommunikationen. En mail til alle kunder fra en kompromitteret konto kan både skade jer og fjerne spor. → Kommunikation efter et cyberangreb
- Lad være med at lægge planen ét sted. Hvis serveren er krypteret, er planen det også.
Ikke kun cyberangreb
Beredskabsplaner tænkes ofte kun til angreb udefra. Men det samme afsnit kan bruges, når en medarbejder er under mistanke, når en leverandør har lavet en fejl, eller når en kunde truer med et krav. Princippet er det samme: bevar først, undersøg bagefter, og skriv det hele ned.
Overvej derfor at gøre afsnittet generelt, så det dækker alle situationer, hvor digitale spor kan få betydning, og ikke kun hændelser, IT opdager. Det kan være HR eller en leder, der opdager noget først.
Test planen
En plan, der ikke er afprøvet, indeholder næsten altid fejl: et telefonnummer, der ikke virker, en person, der er stoppet, eller et skridt, ingen ved, hvordan man udfører. Gennemgå afsnittet sammen med de personer, der står i det, mindst en gang om året. En skrivebordsøvelse er en enkel måde at gøre det på. → Øv en bevissag: skrivebordsøvelse for ledelsen
Hvornår skal I have hjælp?
Få hjælp udefra, hvis I vil have afsnittet gennemgået af nogen, der har set, hvordan sager forløber i praksis, eller hvis jeres IT-leverandør er usikker på, hvordan logs og spor sikres, så de kan efterprøves. I en akut situation gælder det om at handle med det samme. Nielco IT kan i akutte sager være på stedet inden for få timer. Hastesager koster ekstra. → Pris og tilbud
Læs også: Hvor længe skal virksomheden gemme logs? · Øv en bevissag: skrivebordsøvelse for ledelsen · Ordbog for ledere
→ Bevissikring ved fratræden af nøglemedarbejdere · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
