Prvních 60 minut po kyberútoku: krizový manuál pro firmy

Obrazovka s výzvou k zaplacení výkupného, zašifrované soubory, panika. Co uděláte v první hodině, rozhodne o škodách. Mějte plán dřív, než ho budete potřebovat.

První hodina rozhoduje

Kyberútok málokdy začíná velkým třeskem. Často si ho všimnete, až když nejdou otevřít soubory, nefunguje účetnictví nebo se na obrazovce objeví výzva k zaplacení výkupného. V tu chvíli začíná závod s časem: útočník může stále pokračovat v šifrování, mazání záloh nebo odčerpávání dat. Prvních 60 minut rozhoduje o tom, jestli půjde o nepříjemnost, nebo o existenční problém. Proto je dobré mít postup promyšlený předem.

Odpojit, ne vypnout

Nejčastější reflex je vypnout počítač. Paradoxně je to chyba. V operační paměti běžícího stroje mohou být klíče k šifrování a stopy útočníka, které se vypnutím nenávratně ztratí. Správný postup je počítač odpojit od sítě: vytáhnout síťový kabel, vypnout Wi-Fi, případně odpojit celý segment sítě na switchi. Tím útok izolujete, ale zachováte důkazy. Vypínejte jen v krajním případě, když šifrování viditelně probíhá a nemáte jak stroj odpojit.

Komu volat a kdo velí

Druhý krok: aktivujte pomoc. Máte-li externího správce IT, volejte jemu, protože zkušený technik pozná rozsah škod rychleji než kdokoli ve firmě. Určete jednoho člověka, který krizovou situaci řídí a rozhoduje, jinak vznikne chaos, kdy každý „zachraňuje" po svém. Sepište si předem krizovou kartu: telefonní čísla na IT podporu, vedení a hlavní dodavatele. Mějte ji vytištěnou, protože v zašifrované síti se k elektronickým kontaktům nemusíte dostat.

Než začnete cokoli dělat, ozvěte se někomu, kdo to už dělal. Kontakt najdete na stránce pro technickou podporu.

Nemazat stopy, nehrát si na detektiva

Přirozené nutkání je začít hned uklízet: mazat podezřelé soubory, přeinstalovat systémy, „ať to zase jede". Jenže tím ničíte forenzní stopy (logy, vzorky škodlivého kódu, časové značky), které jsou potřeba ke zjištění, kudy útočník přišel a co všechno stihl. Bez toho hrozí, že díru neucpete a útok se za měsíc zopakuje. Nechte analýzu na odbornících a do té doby nic nemažte ani nepřeinstalovávejte.

Ohlašovací povinnosti: NÚKIB a ÚOOÚ

Pokud vaše firma spadá pod zákon o kybernetické bezpečnosti, máte povinnost hlásit incident NÚKIB. Koho se to týká, popisujeme v článku o novém zákonu a NIS2. A pokud útok zasáhl osobní údaje zákazníků či zaměstnanců, běží vám podle GDPR lhůta 72 hodin na ohlášení Úřadu pro ochranu osobních údajů. U závažných útoků zvažte i trestní oznámení Policii ČR, protože ransomware je trestný čin.

Komunikace a návrat do provozu

Informujte zaměstnance, ať nikdo nepřipojuje další zařízení, a připravte věcnou komunikaci pro zákazníky, pokud výpadek pocítí. Mlžení důvěru poškodí víc než přiznaná pravda. Obnova pak stojí na kvalitních zálohách, ideálně oddělených od sítě. V MAGNAPRO firmám pomáháme s prevencí, zálohováním i řešením incidentů a většinu zásahů zahajujeme vzdáleně během minut. Domluvte si konzultaci, dokud je klid.

Reakční doby pro kritické incidenty najdete u technické podpory.

Nezávazná poptávka  ← Zpět na blog