Plan odgovora na incidente: kako ga izraditi

Plan odgovora na incidente je dokument koji unaprijed definira kako organizacija reagira na sigurnosni incident: tko odlučuje, koga se obavještava, kako se napad zaustavlja i kako se sustavi vraćaju u rad. Sve te odluke morate donijeti prije nego incident nastupi, jer ih je tijekom napada gotovo nemoguće donijeti dobro. Kada napadač šifrira poslužitelje ili kada otkrijete da netko mjesecima čita poštu uprave, sat otkucava, telefoni zvone, a pola tima ne zna ima li ovlasti isključiti sustav. U tom trenutku plan ili postoji i radi, ili ne postoji i pravite ga u hodu uz najgoru moguću cijenu.

Za reguliranu tvrtku u Hrvatskoj plan nije samo operativna higijena, nego pravna obveza s rokovima. NIS2 je u hrvatsko pravo prenesen kroz Zakon o kibernetičkoj sigurnosti i traži ranu dojavu značajnog incidenta unutar 24 sata te potpuniju prijavu unutar 72 sata.² Financijski subjekti uz to potpadaju pod Uredbu DORA, koja ima vlastiti režim prijave incidenata povezanih s informacijsko-komunikacijskom tehnologijom.³ GDPR traži prijavu povrede osobnih podataka AZOP-u u 72 sata. Te rokove ne možete ispuniti improvizacijom. Ovaj tekst objašnjava kako izraditi plan, koje faze obuhvaća prema NIST okviru, tko su članovi tima, koji su regulatorni rokovi u Hrvatskoj i zašto plan koji postoji samo na papiru ne vrijedi ništa.

Ovo je dio našeg pregleda detekcije i odgovora. Sposobnost odgovora gradimo kroz odgovor na incidente te kontinuirani nadzor kroz MDR.

Zašto se odgovor gradi unaprijed, ne tijekom napada

Incident je najgori mogući trenutak za donošenje strukturnih odluka. Stres je velik, informacije su nepotpune, a svaka pogrešna poteza povećava štetu. Ako tek kad sustav padne počnete tražiti tko ima ovlast isključiti produkciju, koga zvati u pravnoj službi i postoji li uopće svježa sigurnosna kopija, gubite sate koji izravno povećavaju štetu i probijaju zakonske rokove.

Unaprijed pripremljen plan pretvara kaos u ponovljiv proces. Voditelj incidenta zna da ima ovlast, tehnički tim zna koji su prvi koraci izolacije, a netko već prati sat za regulatornu prijavu dok ostali rješavaju tehniku. Razlika između tvrtke koja se oporavi za dan i tvrtke koja stoji tjedan dana rijetko je u alatima. Češće je u tome je li odgovor bio uvježban ili improviziran.

Plan je i dokaz prema regulatoru. Kada prijavite incident nadležnom tijelu ili AZOP-u, očekuje se da pokažete kako ste postupali sustavno, a ne nasumično. Postojanje plana, evidencije odluka i zapisa o vremenima dio je obrane vaše dužne pažnje.

Šest faza odgovora prema NIST okviru

Dobar plan slijedi prepoznatljive faze. Koristimo strukturu iz NIST SP 800-61, najpriznatijeg okvira za rukovanje incidentima, koji proces dijeli u jasne korake od pripreme do pouka.¹ Faze nisu strogo linearne. Detekcija, zadržavanje i iskorjenjivanje često se vrte u petlji dok ne potvrdite da je napadač uistinu izbačen.

1. 01
   Priprema

   Definirajte uloge, kontakte, alate, runbookove i pristup prije incidenta te ih uvježbajte. Ovdje se odgovor uistinu dobiva ili gubi.
2. 02
   Detekcija i analiza

   Prepoznajte incident iz alarma ili dojave, potvrdite je li stvaran, procijenite opseg i klasificirajte ozbiljnost. Bez detekcije ostalo ne počinje.
3. 03
   Zadržavanje

   Zaustavite širenje izolacijom pogođenih sustava, opozivom pristupa i blokadom komunikacije napadača, ali bez uništavanja dokaza potrebnih za analizu.
4. 04
   Iskorjenjivanje

   Uklonite uzrok, zatvorite iskorišteni ulaz, obrišite zlonamjerni softver i provjerite da napadač nema drugi put natrag u mrežu.
5. 05
   Oporavak

   Vratite sustave iz provjerenih sigurnosnih kopija, pojačajte nadzor i pratite ima li znakova ponovne pojave prije nego proglasite normalan rad.
6. 06
   Naučene lekcije

   Provedite pregled nakon incidenta, dokumentirajte što je radilo i što nije, te zatvorite propust kroz konkretne promjene tehnologije i procesa.

Faza pripreme je jedina koja se odvija svaki dan, dok ostalih pet aktivirate tek kad incident nastupi. Zato najveći dio truda i ulaže se upravo u pripremu. Faza naučenih lekcija zatvara krug: nalazi iz pregleda vraćaju se natrag u pripremu i čine sljedeći odgovor bržim.

Tim i uloge: tko što radi

Odgovor na incident nije posao samo IT odjela. Ozbiljan incident dotiče pravo, komunikaciju, financije i upravu. Plan mora unaprijed imenovati ljude i zamjene, jer incident neće čekati da se vrate s godišnjeg. Uloge ne moraju biti zasebne osobe u maloj tvrtki, ali odgovornosti moraju biti jasno raspodijeljene.

• Voditelj incidenta vodi cijeli odgovor, donosi ključne odluke i ima ovlast da, primjerice, isključi produkcijski sustav. Bez te ovlasti tim oklijeva u trenutku kada je brzina najvažnija.
• Tehnički tim provodi detekciju, analizu, izolaciju i oporavak. Ovdje su sistemci, mrežni inženjeri i analitičari koji rade na samom incidentu.
• Pravna služba procjenjuje obveze prijave, čuva dokaze za moguće postupke i savjetuje o komunikaciji s regulatorom i pogođenim strankama.
• Komunikacije upravljaju porukama prema zaposlenicima, klijentima, partnerima i javnosti, kako bi se izbjegle proturječne ili štetne izjave.
• Uprava odobrava ključne odluke s poslovnim i financijskim posljedicama, primjerice o isplati otkupnine ili produljenom zastoju, te snosi krajnju odgovornost.

U manjim tvrtkama jedna osoba pokriva više uloga, a dio funkcija preuzima vanjski partner. To je legitimno, pod uvjetom da je raspodjela napisana i poznata prije incidenta. Vanjski tim za odgovor učinkovit je samo ako mu je pristup i mandat dogovoren unaprijed, a ne tek kad počne napad.

Regulatorni rokovi prijave u Hrvatskoj

Rok prijave je element koji najčešće lomi nepripremljene timove. Tehnički odgovor možete improvizirati uz dovoljno vještih ljudi, ali rok od 24 sata teče bez obzira jeste li spremni. NIS2 je u Hrvatskoj prenesen kroz Zakon o kibernetičkoj sigurnosti i za subjekte u njegovu opsegu uvodi stupnjevitu prijavu značajnog incidenta nadležnom tijelu.²

Rokovi se preklapaju i mogu teći paralelno. Incident koji uključuje osobne podatke u financijskoj instituciji može istovremeno aktivirati i NIS2 i GDPR i DORA režim. Zato plan mora imati klasifikaciju koja odmah na početku odgovara na pitanje koji se rokovi pokreću i tko ih prati. Više o tome kako Zakon o kibernetičkoj sigurnosti uređuje obveze pišemo u tekstu o NIS2 i Zakonu o kibernetičkoj sigurnosti, a o financijskom režimu u tekstu o DORA-i za financijske institucije.

Runbookovi i klasifikacija incidenata

Plan na visokoj razini govori tko što radi, ali tijekom napada treba korake koje slijedite bez razmišljanja. Tu ulaze runbookovi, kratki postupnici za pojedinu vrstu incidenta. Runbook za ransomware razlikuje se od runbooka za kompromitiranu poslovnu poštu ili curenje podataka, jer su prvi koraci izolacije i dokazivanja različiti.

Klasifikacija je drugi temelj. Bez nje tim troši jednako energije na lažni alarm i na potpuni proboj. Dobra klasifikacija svrstava incident u razine ozbiljnosti i odmah povezuje razinu s aktivnostima: koga se budi, koji se rokovi pokreću i kakav je tempo komunikacije. Klasifikacija mora biti čin koji traje minute, ne sat. O ranom prepoznavanju i analizi alarma pišemo u tekstu o sigurnosnom operativnom centru (SOC), a specifičan slučaj obrađujemo u tekstu o zaštiti i odgovoru na ransomware.

Vježbe za stolom i zašto su nužne

Plan koji nitko nije isprobao gotovo sigurno ne radi kako se očekuje. Na papiru sve izgleda uredno dok ne otkrijete da osoba zadužena za odluku ne radi vikendom, da kontakt regulatora više nije aktualan ili da sigurnosna kopija koju ste planirali vratiti i sama je šifrirana. Te rupe otkrivate ili u vježbi, ili u stvarnom napadu po mnogo višoj cijeni.

Vježba za stolom (tabletop) je vođena simulacija u kojoj tim prolazi kroz realan scenarij i odlučuje korak po korak, bez stvarnog pritiska na sustave. Cilj nije ocijeniti ljude, nego pronaći slabosti u planu, runbookovima i komunikaciji. Dobra vježba uvijek proizvede konkretan popis ispravaka koji se vraća u fazu pripreme.

Plan se ne dokazuje kad je napisan, nego kad ga uvježbate prije nego zatreba.

Vježbu vrijedi ponoviti barem jednom godišnje te nakon većih promjena u sustavima, timu ili propisima. Ozbiljnije organizacije nadograđuju tabletop vježbe tehničkim simulacijama, primjerice red teaming provjerom, koja testira i detekciju i odgovor protiv realnog scenarija napada.

Pripravnost i retainer za odgovor

Mnoge tvrtke nemaju interni tim koji može voditi forenziku i oporavak velikog incidenta, a tražiti takvog partnera usred napada gubi dan ili dva u pregovorima i potpisivanju ugovora. Ugovor o pripravnosti, retainer za odgovor na incidente, rješava taj problem. Partner unaprijed poznaje vaše okruženje, ima dogovoren pristup i mandat te može početi raditi u satima, ne danima.

Po našem iskustvu, najveća vrijednost retainera nije sam odgovor, nego priprema koja ide uz njega: zajednička izrada plana, runbookova i vježbi. Stvarni opseg i tempo ovise o veličini i složenosti okruženja, a procjena se radi po pregledu. Kontinuirani nadzor kroz MDR i pripravnost zajedno skraćuju vrijeme od prvog znaka do zadržavanja, što je broj koji najviše utječe na ukupnu štetu.

Kako Raptoric pomaže

Pomažemo reguliranim tvrtkama izraditi, uvježbati i održavati plan odgovora koji se uklapa u rokove Zakona o kibernetičkoj sigurnosti, DORA-e i GDPR-a, kroz odgovor na incidente. Kao neovisan i vendor neutralan partner gradimo plan oko vašeg stvarnog okruženja, vodimo tabletop vježbe i, kroz pripravnost, stojimo uz vaš tim kad incident nastupi. Dogovorite uvodni razgovor.