Když kybernetický útok zasáhne, pohotovostní plán nestačí

Ve Folkemødet na Bornholmu jsem se setkal s Clausem Duem ze společnosti Procio, kde jsme se oba účastnili CyberWalk. Zde hovořil o práci s akčními kartami pro IT připravenost – jednoduchý nástroj, který pomáhá zaměstnancům rychle a správně reagovat na kybernetický incident.

Konverzace udělala dojem, protože poukázala na něco, co mnoho organizací dokáže rozpoznat: Zatímco kybernetická bezpečnost je často spojena s technologiemi, softwarem a pokročilými systémy, první kritické minuty jsou z velké části o lidech.

Lidé mají tunelové vidění, když nastane panika. Je to přesně stejný mechanismus jako při fyzických nehodách. V situaci zaměstnanci nemusí číst dlouhé dokumenty. Potřebují něco konkrétního, co říká: Vidím tu situaci správně? Co mám dělat? A co bych neměl dělat?
– Claus Due.

Inspirováno první pomocí

Myšlenka použití akčních karet v IT připravenosti vychází z formátu, který se již používá ve světě první pomoci.

Díky spolupráci s Action-Cards® se Claus Due seznámil s jejich formátem karet a knih, který se používá pro záchranáře a situace první pomoci, kdy lidé pod tlakem potřebují málo jednoduchých a akčních pokynů. Rychle viděl perspektivu přenosu myšlení do IT a kybernetické bezpečnosti a vývoje obsahu a scénářů pro tuto oblast.

„Viděl jsem, jak tento koncept funguje v oblasti první pomoci, a myslel jsem si: Proč nemáme něco podobného v kyberbezpečnosti? Dojde-li ke kybernetickému incidentu, lidé reagují duševně stejně jako v případě fyzické nouze.“

Podle Clause Dueho je výzvou to, že mnoho společností je dobrých ve vytváření dokumentace, hodnocení rizik a pohotovostních plánů, ale méně dobrých v jejich převádění do konkrétních činností v každodenním životě.

“Ve společnosti vám chybí kontakt. Snadno to bude důkazem zavinění dokumentace.“

Největší chybou je čekání.

Když dojde ke kybernetickému incidentu, technologie je pouze součástí výzvy.

Jednou z chyb, které Claus Due často vidí, je, že zaměstnanci tráví příliš dlouho posuzováním, zda vůbec existuje problém.

“Pochybujete o tom, zda jste v incidentu nebo ne. Proto necháváte plynout čas. Uděláte si trochu více průzkumu, než něco řeknete. A toto konkrétní zpoždění může být kritické.“

Práce na akčních mapách je proto založena na jediné zásadě: Spíše reagovat jednou příliš mnoho než jednou příliš málo.

“Raději zareagujte, než ne. Nejdůležitější není nutně to, že problém vyřešíte sami. Nejdůležitější je, abyste hned získali ty správné kontakty.”

Připravenost musí být viditelná – a vyškolená

Mnoho společností již má pohotovostní plány na intranetu nebo ve složkách.

Problém je v tom, že se často nepoužívají, když nastane situace.

Proto Procio pracuje na tom, aby akční karty a další krátké akční pokyny byly snadno dostupné tam, kde se nacházejí zaměstnanci.

“Musí být venku v dílně, v administrativě a v obědové místnosti. Podobně jako lékárnička nebo defibrilátor. Protože je to na stejné úrovni, že musíte být schopni reagovat.”

Karty se také používají jako školicí nástroj, kde zaměstnanci neustále procvičují konkrétní scénáře.

„Netrénujete tunelové vidění prostřednictvím osvětového programu na obrazovce. Trénujete to tím, že pracujete s konkrétními situacemi.”

Phishing je příkladem incidentu, kdy školení může přinést hmatatelný rozdíl. Obzvláště stále přesvědčivější podvody s generálními řediteli, kdy zločinci předstírají, že jsou řediteli nebo důvěryhodnými spolupracovníky, mohou být obtížně rozpoznatelné.

„Vidíme, že útoky jsou stále sofistikovanější. Podvodníci využívají informace z LinkedIn a sociálních médií, aby dotazy vypadaly důvěryhodněji.“

Podle Clause Dueho zkušenosti ukazují, že zaměstnanci, kteří trénují konkrétní scénáře, se lépe identifikují podezřelé dotazy a rychleji hlásí incidenty.

Čtyři otázky, na které by měli být všichni zaměstnanci schopni odpovědět

Klíčovým principem provozní připravenosti IT je, že zaměstnanci musí být schopni rychle odpovědět na čtyři jednoduché otázky:

1. Čemu bych měl věnovat pozornost?
2. Co mám dělat v situaci?
3. Na koho se mám obrátit?
4. Co bych neměl dělat?

Může to znít jednoduše. Podle Clause Dueho je však jednoduchost klíčová, když je situace vážná a rozhodnutí je třeba učinit rychle.

Zodpovědné musí být vedení

Jedním z bodů, ke kterému se Claus Due několikrát vrací, je odpovědnost vedení.

Pro mnoho webů je kybernetická bezpečnost i nadále považována za technický problém. Je to chyba, řekl.

„Kybernetická bezpečnost je obchodně zásadní disciplínou. Vedení proto nesmí nechat to na technikovi samotném.”

Podle něj, má-li být kybernetická bezpečnost řádně ukotvena, vyžaduje spolupráci mezi managementem, manažery kvality a IT specialisty.

„Když tyto tři role spolupracují, je bezpečnost zakotvena v podnikání, procesech a technickém uspořádání.“

Začněte s nejdůležitějšími riziky

Pokud by Claus Due zítra převzal kybernetickou bezpečnost průměrné dánské společnosti, nezačal by s velkými projekty nebo složitými systémy.

Chtěl začít tím, že identifikuje největší rizika společnosti a poté podnikne konkrétní kroky.

“Nejhorší je začít příliš ze široka. Udělejte si půl dne, identifikujte nejdůležitější rizika, vytvořte jednoduchý plán a začněte.“

Zároveň se diví, proč tolik společností před nákupem stále čeká na zákonný požadavek nebo požadavek zákazníka.

„Víme, že kybernetická bezpečnost je důležitá. Tak proč čekat? “Proč prostě nezačnete?” zeptal se.

Od plánů k činům

Jedna z nejzajímavějších věcí na rozhovoru s Clausem Duem nemusí být samotný nástroj, ale myšlení za ním.

Mnoho organizací již má zavedeny politiky, postupy a pohotovostní plány. Výzvou je často proměnit je v činy v reálném světě, když jsou zaměstnanci pod tlakem.

Práce s akčními mapami zde poukazuje na důležité učení, které dalece přesahuje individuální formát: Lidé jednají lépe, když jsou povinnosti, kontaktní trasy a možnosti činnosti jednoduché, viditelné a předem vyškolené.

Pokud si čtenáři potřebují z rozhovoru vzít jen jednu věc, možná je to právě toto poselství:

Kybernetická bezpečnost není jen o technologiích. Jde o lidi, vedení a schopnost reagovat, když se něco pokazí.

Příkladem toho, jak učinit připravenost konkrétní a funkční, jsou akční mapy a školení o scénářích. Jiné organizace si mohou zvolit jiné metody. Společný jmenovatel je však stejný: Nečekejte na další zákonný požadavek nebo další kybernetický incident. Začněte s nejdůležitějšími věcmi, vytvořte jasný akční plán a ukotvte práci v celé organizaci.

Přečtěte si více na procio.dk o IT připravenosti a akčních kartách.