Incidensterv és incidenskártya

Modul 8: Ha mégis baj történik · Olvasási idő: 10 perc

Tanulási cél: E lecke után képes lesz egy incidenskártyát és egy egyszerű incidenstervet készíteni, amely akkor is működik, ha a számítógépei, az e-mailje és a telefonlistája nem elérhető.

Kulcsfogalmak: incidens, incidenskártya, incidensterv, szerepkörök, kapcsolattartási lista, körülhatárolás, bizonyíték megőrzése, kommunikáció, offline tárolás, gyakorlás (tabletop)

Miért érdemes ezt most elintézni, és nem akkor, amikor már ég a ház

Tegyük fel: hétfő reggel 07:45 van. A Bakkerij Example pénztári számítógépén egy piros képernyő jelenik meg, amely szerint minden fájl titkosítva lett. A megrendeléseket tartalmazó megosztott mappa nem nyílik meg. Valaki azt mondja: "Hívjuk a számítógépest." De a száma a postafiók névjegyei között van, a postafiók pedig ugyanazon a gépen fut. Valaki más azonnal ki akarja kapcsolni a gépet. Egy harmadik személy elkezdi csatlakoztatni a biztonsági mentés lemezét, hogy "mindent visszaállítson".

Mindhárom reakció érthető, és kettő közülük csak ront a helyzeten. Ez szinte mindig így történik: nyomás alatt az emberek azt teszik, ami elsőként eszükbe jut. Az incidens minden olyan esemény, amely veszélyezteti az adatok vagy rendszerek rendelkezésre állását, megbízhatóságát vagy bizalmasságát: feltört e-mail fiók, zsarolóvírus, elveszett laptop, ügyféladatokat tartalmazó e-mail rossz címzetthez küldve, átvett weboldal.

A terv célja nem az, hogy minden jól menjen. A cél az, hogy az első órában ne kövessen el olyan hibákat, amelyeket később már nem lehet helyrehozni, és hogy tudja, kit kell hívnia.

Incidenskártya és incidensterv: a különbség

Egy két és húsz fő közötti vállalkozás esetében a kártya a legfontosabb. A terv lehet rövid. A holland NKI a zsarolóvírusokra vonatkozóan részletes incidenskezelési tervet tett közzé (lásd Tovább olvasna), ezt alapul véve rövidítheti le a sajátját.

Mi szerepeljen az incidenskártyán

Egy jó kártya öt kérdésre ad választ. Az alábbiakban egy átvehető sablon található.

INCIDENSKÁRTYA  Bakkerij Example            verzió: 1   dátum: ..-..-....

1. ÉSZLEL VALAMI FURCSÁT?  (piros képernyő, furcsa e-mail elküldve, a bejelentkezés nem sikerül,
   ismeretlen fizetés, elveszett laptop, adatok rossz címzetthez küldve)
   -> Jelezze AZONNAL itt: ............................  tel: ...............
      Tartalék: ..........................................  tel: ...............
   A jelzés mindig helyes lépés. Senkit nem fog hibáztatni.

2. ELSŐ LÉPÉSEK (ne próbálja saját maga megjavítani)
   [ ] Hálózati kábel ki / wifi ki / repülő üzemmód. NE kapcsolja ki.
   [ ] Usb- és biztonsági mentés lemezek leválasztása. NE csatlakoztassa.
   [ ] Fénykép készítése a képernyőről (a telefonjával).
   [ ] Jegyezze fel: időpont, mit látott, mit tett.
   [ ] Ne fizessen, ne válaszoljon a zsarolónak.

3. KIT HÍVUNK?
   Informatikai segítség / rendszergazda   ............................  tel: ...............
   Tárhely / e-mail        ............................  tel: ...............
   Bank (csalás, 24/7)   ............................  tel: ...............
   Biztosító (kiber)   ............................  kötvény: .............
   Rendőrség (feljelentés)    112 (sürgős esetben), egyébként a rendőrség nem sürgősségi vonala
   NAIH adatvédelmi incidens bejelentő   naih.hu (72 órán belül)
   Fontos ügyfél/beszállító: ...................  tel: ...............

4. KI DÖNT ÉS KI KOMMUNIKÁL?
   Dönt (kikapcsolás, visszaállítás, bejelentés, fizetés): ..........................
   Kommunikál ügyfelekkel, sajtóval, dolgozókkal: ........................................
   Vezeti a naplót: .....................................................

5. HOL MI TALÁLHATÓ?
   Biztonsági mentések: .............................. (utolsó teszt: ..-..-....)
   Jelszókezelő vészhelyzeti hozzáférés: ...........................................
   Rendszerek és fiókok listája: ..........................................
   Ez a terv (digitálisan) + másolat a cégen kívül: ..............................

Néhány választás ebben a sablonban magyarázatra szorul.

• "Ne kapcsolja ki, de válassza le." Zsarolóvírus esetén a holland NKI azt javasolja, hogy az érintett eszközt azonnal válassza le a hálózatról (kábel, wifi, mobilhálózat), de ne kapcsolja ki; alvó üzemmód megengedett. A munkamemóriában olyan nyomok találhatók, amelyekre egy vizsgálónak szüksége lehet, és néha akár kulcsok is. A leválasztás megállítja a terjedést más eszközökre és a hálózati meghajtóra.
• "Ne csatlakoztassa a biztonsági mentés lemezeit." Egy fertőzött géphez csatlakoztatott lemez szintén titkosítva lesz. Előbb meg kell bizonyosodni arról, hogy a környezet tiszta (8.3. lecke).
• "A jelzés mindig helyes lépés." Az a munkatárs, aki elsőként vesz észre valamit, a legjobb védelmi vonala. Ha fél a dorgálástól, inkább vár, és Ön órákat veszít. Lásd még a 9.2. leckét.
• Telefonszámok papíron. Éppen egy nagy incidens esetén fordulhat elő, hogy az e-mailje, a megosztott naptára és néha a telefonközpontja sem működik. Egy kártya, amely csak a felhőben létezik, ilyenkor elérhetetlen.

A nem sürgős esetekre vonatkozóan a rendőrség elérhető a megfelelő telefonszámán, ahol a vállalkozások feljelentéshez egyeztethetnek időpontot. Közvetlen veszély esetén a 112-t hívja, de egy kibertámadás általában nem 112-es ügy.

Szerepkörök: ki mit csinál

Egy kisvállalkozásnál gyakran egy ember csinál mindent. Mégis határozzon meg három szerepkört, akkor is, ha kettő ugyanazon a néven fut:

1. A döntéshozó. Dönt a kikapcsolásról, a visszaállításról, a NAIH-nak való bejelentésről, a bankkal való kapcsolatfelvételről, és arról, hogy szükség van-e külső szakértőre. Lehetőleg a tulajdonos vagy az ügyvezető, állandó helyettessel.
2. A technikai vonal. Az informatikai szolgáltatója, a weboldal készítője vagy az ügyes kolléga. Azt teszi, amit a döntéshozó kér, és tanácsot ad. Egyeztessen előre arról, hogy informatikai szolgáltatója incidens esetén is segít-e, milyen gyorsan, és mennyibe kerül; ez a 7.2. lecke témája.
3. A kommunikátor. Beszél az ügyfelekkel, a dolgozókkal és esetleg a sajtóval, hogy egységes üzenet kerüljön ki. Adatvédelmi incidens esetén ide tartozik az érintettek tájékoztatása is (8.2. lecke).

Jelöljön ki valakit, aki naplót vezet: időpont, mi történt, ki miről döntött. Ez bürokratikusnak tűnhet, de szükség lesz rá a NAIH-nak való bejelentéshez (amely megkérdezi, mikor fedezte fel az incidenst és mit tett), a biztosítójának, a feljelentéshez és az utólagos kiértékeléshez.

A terv: incidenstípusonként néhány szabály

A kártya mellett írjon egy rövid eljárást minden gyakori incidenstípushoz. Négy elegendő a kezdéshez:

Rögzítse azt is, mely rendszerek a legfontosabbak, sorrendben. A Bakkerij Example esetében ez például: pénztár és kártyaterminál, a napi rendelések, e-mail, könyvelés, weboldal. A helyreállításnál a lista tetejével kezdje. Lásd még az RPO és RTO fogalmakat a 6.3. leckében.

Gyakorlás: egy félóra az asztalnál

Egy terv, amelyet senki nem ismer, nem működik. Egy tabletop-gyakorlat egy fél órát vesz igénybe: az érintett szerepkörű emberekkel az asztalnál ülve lejátszanak egy forgatókönyvet, anélkül hogy bármihez hozzányúlnának. A moderátor (ez Ön is lehet) lépésről lépésre elmondja, mi történik.

Példa: "Péntek 16:30 van. A könyvelő e-mailt kap egy állandó beszállítótól: megváltozott az IBAN-szám, a 8.400 eurós fennálló számlát még ma kéri az új számlára. Mit tesz?" Majd ezt követően: "Hétfő van. A beszállító felhívja: nem kapott semmit." Minden lépésnél tegye fel a kérdést: ki mit csinál, kit hív, hol található az adott telefonszám?

A gyakorlat végén írja fel, mi hiányzott. Szinte mindig egy telefonszám, egy jelszó, amelyet csak egy ember ismer, vagy bizonytalanság arról, ki dönt. Igazítsa ki a kártyát, és írja rá az új dátumot. Egy kisvállalkozás számára jó ritmus az évi egyszeri gyakorlás és a kártya felülvizsgálata, valamint minden jelentősebb változás után (új informatikai szolgáltató, új könyvelőprogram).

A gyakorlatban: így néz ki

Vegye fel a kártyájára azokat a konkrét helyeket is, ahol saját szolgáltatóinál gyorsan be tud avatkozni. A WebOkénál ez például: az aktív munkamenetek megtekintése és kijelentkeztetése a Fiókom felületen, a "A weboldalamat feltörték" lépésenkénti útmutató a DirectAdmin-kézikönyvben, és egy biztonsági mentés visszaállítása. Más tárhely-, e-mail- és felhőszolgáltatóknál hasonló funkciók léteznek; keresse meg ezeket, mielőtt szüksége lenne rájuk, és jegyezze fel, hol találhatók.

Összefoglalás

• Egy incidenskártya (egyetlen A4, papíron) biztosítja, hogy mindenki az első percekben a helyes dolgot tegye: jelzés, leválasztás de nem kikapcsolás, biztonsági mentések nem csatlakoztatása, semmilyen fizetés.
• Határozzon meg szerepköröket: ki dönt, ki végzi a technikai munkát, ki kommunikál, ki vezeti a naplót.
• Írjon rövid eljárást minden gyakori incidenstípushoz, valamint a legfontosabb rendszerei sorrendjét.
• Tárolja a telefonszámokat és a tervet a számítógépein kívül is.
• Évente gyakoroljon egy fél órát az asztalnál, és frissítse a kártyát.

Kvíz

Feladat

Feladat D8.1: Az Ön saját incidenskártyája. Vegye át az e leckében szereplő sablont, és töltse ki saját vállalkozására: valódi nevekkel, telefonszámokkal és helyekkel. Nyomtassa ki, tegye ki jól látható helyre, és készítsen róla fényképet a telefonjára. Ezután egy kollégájával (vagy egyedül) játssza le negyed óra alatt az e leckében szereplő IBAN-forgatókönyvet, és írja fel, mi hiányzott.

Tovább olvasna

A WebOké-cikkekben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.

• DirectAdmin útmutató 18.2: A weboldalamat feltörték: lépésről lépésre útmutató
• Segítség! Feltörték a weboldalamat. Hogyan háríthatom el, és hogyan előzhetem meg?
• WebOké útmutató 3.6: Aktív munkamenetek megtekintése és kijelentkezés
• A holland NKI, Mit tegyen zsarolóvírus-támadás esetén?: https://nki.gov.hu/
• A holland NKI, Incidenskezelési terv zsarolóvírus esetére (pdf): https://nki.gov.hu/
• A rendőrség (https://www.police.hu/) és az NKI (https://nki.gov.hu/): segítség zsarolóvírus-támadás áldozatai számára