Когда происходит киберинцидент, что вы будете восстанавливать в первую очередь?
Представьте, что на дворе понедельник, утро. Атака программы-вымогателя нарушила работу критически важных бизнес-сервисов. Непосредственная угроза локализована, но операции клиентов все еще затронуты, сотрудники не имеют доступа к основным системам, а руководство хочет знать одно: что мы восстанавливаем в первую очередь и как быстро мы можем безопасно это восстановить?
Финансовый отдел требует вернуть свои системы. Командам, работающим с клиентами, нужны онлайн-платформы. Операционному отделу необходимо запустить критически важные процессы. Тем временем ИТ-отдел оценивает, какие системы можно восстановить быстрее всего.
Проблема заключается в том, что приоритеты восстановления обсуждаются во время кризиса, а не устанавливаются заблаговременно.
Для CISO наличие средств контроля безопасности, резервных копий и планов аварийного восстановления имеет важное значение, но сами по себе эти возможности не гарантируют эффективного восстановления. Организации должны понимать, какие бизнес-сервисы имеют наибольшее значение, какие технологии их поддерживают и какие условия должны быть выполнены, прежде чем можно будет снова довериться системам.
Именно здесь оценка «жемчужин» (Crown Jewel Assessment), подкрепленная анализом влияния киберинцидентов на бизнес (Cyber Business Impact Analysis, Cyber BIA), приобретает решающее значение.
Приоритеты восстановления не должны обсуждаться во время инцидента. Они должны быть установлены, проверены и согласованы задолго до его возникновения.
Почему традиционному анализу влияния на бизнес (BIA) нужен кибернетический подход
Анализ влияния на бизнес (BIA) уже давно помогает организациям выявлять критически важные бизнес-процессы, оценивать последствия сбоев и определять целевое время восстановления (RTO) и целевую точку восстановления (RPO).
Тем не менее киберинциденты создают проблемы, требующие более ориентированного на безопасность подхода.
Во время атаки программы-вымогателя системы идентификации могут быть скомпрометированы, злоумышленники могут сохранить доступ к среде, а резервные копии могут содержать вредоносный код или отражать уже скомпрометированное состояние. Восстановление приложения не обязательно означает, что его безопасно снова подключать.
Поэтому CISO должны смотреть шире доступности и учитывать целостность и безопасность процесса восстановления.
Ключевые вопросы включают:
- Какие бизнес-сервисы пострадают больше всего в случае сбоя?
- Какие приложения, данные, инфраструктура и удостоверения поддерживают эти сервисы?
- Какие активы наиболее привлекательны для злоумышленников или могут привести к масштабному взлому?
- Какие системы и зависимости необходимо восстановить в первую очередь?
- Как можно проверить точки восстановления и восстановленные среды?
- Кто принимает решения о восстановлении и имеет полномочия принимать остаточные риски?
Традиционный BIA обеспечивает основу для понимания бизнес-приоритетов. Cyber BIA расширяет это понимание, включая киберугрозы, технические зависимости, последовательность восстановления и гарантии безопасности.
Цель состоит не просто в том, чтобы быстро восстановить сервисы, а в том, чтобы восстановить их безопасно, в правильной последовательности и в рамках приемлемого уровня бизнес-риска.
«Жемчужины» (Crown Jewels): определение того, что бизнес не может позволить себе потерять
«Жемчужины» (Crown Jewels) — это бизнес-сервисы, информационные активы и технологические возможности, компрометация или длительная недоступность которых окажет наибольшее влияние на организацию.
Это необязательно самые крупные приложения или самые дорогие системы. Их значимость заключается в последствиях их сбоя.
В зависимости от организации к «жемчужинам» могут относиться:
- Критически важные бизнес-сервисы: клиентские платформы, обработка платежей и предоставление основных услуг.
- Конфиденциальная информация: интеллектуальная собственность, клиентские записи и регулируемые данные.
- Корпоративные приложения: ERP, финансовые системы и платформы, поддерживающие основные операции.
- Управление доступом и идентификацией: поставщики удостоверений, службы каталогов и системы с привилегированным доступом.
- Операционные технологии: производственные системы и инфраструктура, поддерживающие основные операции.
- Базовые технологии: DNS, сетевое подключение и общие облачные сервисы, обеспечивающие работу критически важных приложений.
Выявление «жемчужин» требует большего, чем просто ведение инвентарного учета важных систем. Оно требует увязки бизнес-приоритетов с технологиями и данными, которые лежат в их основе.
Рассмотрим инфраструктуру идентификации. Она может не приносить доход напрямую, но ее компрометация может нарушить доступ по всему предприятию и подорвать само восстановление. Такие зависимости могут быть столь же критичны, как и бизнес-приложения, которые они поддерживают.
Цель состоит в том, чтобы сформировать четкое представление о том, что имеет наибольшее значение, почему это важно и что нужно защищать и восстанавливать в первую очередь.
Восстановление зависит от понимания зависимостей
Рассмотрим ориентированную на клиента цифровую платформу, определенную как главный приоритет восстановления. Восстановление приложения может показаться простым делом, но оно может зависеть от служб идентификации, баз данных, DNS, сетевого подключения, сертификатов и облачной инфраструктуры.
Если эти зависимости остаются недоступными или скомпрометированными, приложение не сможет приносить пользу бизнесу. Повторное подключение к ненадежной среде также может подвергнуть его дальнейшей компрометации.
Это подчеркивает важное различие: приоритеты восстановления бизнеса и последовательность технического восстановления не всегда совпадают.
Бизнесу может потребоваться восстановить определенный сервис в первую очередь, в то время как лежащие в его основе технологии должны восстанавливаться в иной последовательности.
Картирование зависимостей помогает организациям понять, какие базовые сервисы должны быть восстановлены в первую очередь, где общие зависимости создают риск концентрации и какие пробелы могут затянуть восстановление.
Для CISO это обеспечивает практическую основу для планирования восстановления, приоритизации инвестиций в безопасность и сотрудничества между подразделениями кибербезопасности, ИТ, непрерывности бизнеса и бизнес-операций.
Фокус смещается с восстановления отдельных систем на восстановление наиболее важных бизнес-сервисов.
Быстрое восстановление не всегда означает надежное восстановление
Во время киберинцидента каждый час сбоя может означать потерю дохода, операционные задержки и недовольство клиентов. Скорость имеет значение, но восстановление систем до их достаточной проверки может создать дополнительные проблемы.
Резервная копия может быть доступна, но скомпрометирована. Сервер может работать, но все еще быть уязвимым к первоначальной атаке. Восстановленное приложение может быть чистым само по себе, но зависеть от скомпрометированной инфраструктуры идентификации.
Поэтому CISO должны сбалансировать скорость восстановления с уверенностью в целостности восстановленной среды.
Это требует от организаций установления четких критериев обеспечения восстановления, включая:
- Проверку целостности и пригодности точек восстановления.
- Расследование инцидента для понимания его масштабов и персистентности.
- Устранение скомпрометированных учетных данных и привилегированного доступа.
- Устранение уязвимостей, которые сделали возможной атаку.
- Проверку зависимостей и средств контроля безопасности перед повторным подключением систем.
- Определение процессов утверждения для восстановления сервисов и принятия остаточных рисков.
Уровень гарантий должен отражать характер инцидента и критичность затронутого сервиса. Тем не менее, каждый критически важный сервис нуждается в четкой основе для определения того, когда его возвращение в эксплуатацию является безопасным.
Успешное восстановление заключается не просто в том, как быстро системы возвращаются в рабочее состояние. Оно заключается в восстановлении критически важных бизнес-услуг без возвращения неприемлемых рисков.
Превращение информации о ключевых активах в бизнес-результаты
Оценка ключевых активов (Crown Jewel Assessment) и анализ кибернетического воздействия на бизнес (Cyber BIA) приносят пользу, выходящую за рамки реагирования на инциденты. Вместе они помогают директорам по информационной безопасности (CISO) сформировать согласованный с бизнесом взгляд на киберустойчивость и принимать более обоснованные решения в отношении рисков и готовности к восстановлению.
Эти данные могут помочь организациям:
- Сделать приоритетными инвестиции: сосредоточить расходы на безопасности на активах и зависимостях, имеющих наибольшее значение для бизнеса.
- Выявить пробелы в восстановлении: оценить уязвимости в резервном копировании, последовательности восстановления, средствах контроля доступа и обеспечении гарантий восстановления.
- Усилить подотчетность: установить четкое владение услугами, обязанности по восстановлению и полномочия по принятию решений.
- Подтвердить устойчивость: проверить, могут ли критически важные бизнес-услуги быть восстановлены в рамках согласованных целей восстановления.
- Улучшить взаимодействие с руководством: сообщать о киберрисках в терминах нарушения бизнес-процессов, готовности к восстановлению и операционного воздействия.
Это также меняет характер диалога с руководством. Вместо того чтобы спрашивать, существуют ли резервные копии или задокументированы ли процедуры восстановления, организации могут оценить, смогут ли они восстановить критически важные службы в приемлемые сроки и в пределах пороговых значений риска.
Это более значимый показатель киберустойчивости.
Главная проверка для CISO: знать, что стоит на первом месте
Киберустойчивость не достигается только за счет технологий. Она требует от организаций объединения бизнес-приоритетов, киберрисков, технических зависимостей и решений по восстановлению в единую стратегию.
Оценка ключевых активов в сочетании с Cyber BIA помогает заложить эту основу. Она позволяет CISO понять, что нужно защищать, что должно быть восстановлено в первую очередь и какие условия должны быть выполнены, чтобы восстановление считалось успешным.
Эта работа должна быть проделана до инцидента, пока у заинтересованных сторон есть время согласовать приоритеты, устранить зависимости и проверить планы восстановления.
Когда происходит киберинцидент, руководство спрашивает не просто о том, можно ли восстановить системы. Оно спрашивает, сможет ли организация продолжать обслуживание клиентов, защищать критически важную информацию и поддерживать основные операции.
Нельзя восстановить то, чему не были уделены приоритеты. И нельзя с уверенностью восстановить то, чему нельзя доверять.
Для CISO киберустойчивость начинается с понимания того, что имеет наибольшее значение, и обеспечения готовности организации восстановить это тогда, когда это важнее всего.
