การวางแผนการตอบสนองการละเมิดของคุณ

การละเมิดข้อมูลสามารถปิด บริษัท ของคุณเป็นระยะเวลาที่สำคัญบางครั้งตลอดไป; มันอาจทำให้อนาคตทางการเงินของคุณตกอยู่ในความเสี่ยงและในบางกรณีอาจทำให้คุณติดคุก แต่ไม่มีสิ่งใดเกิดขึ้นเพราะถ้าคุณวางแผนอย่างถูกต้องคุณและ บริษัท ของคุณสามารถกู้คืนและดำเนินธุรกิจต่อไปได้บางครั้งภายในไม่กี่นาที ในที่สุดทุกอย่างก็มาลงที่การวางแผน

เมื่อสัปดาห์ที่แล้วเราได้พูดถึงวิธีเตรียมตัวสำหรับการฝ่าฝืนข้อมูล สมมติว่าคุณทำอย่างนั้นก่อนที่จะเกิดการแตกขั้นตอนต่อไปของคุณนั้นค่อนข้างตรงไปตรงมา แต่หนึ่งในขั้นตอนการเตรียมความพร้อมเหล่านั้นคือการสร้างแผนแล้วทดสอบ และใช่ว่าจะใช้เวลาในการทำงานจำนวนมาก

ความแตกต่างคือการวางแผนล่วงหน้าที่ทำไว้ก่อนที่จะมีการฝ่าฝืนมีวัตถุประสงค์เพื่อลดความเสียหาย หลังจากการฝ่าฝืนแผนจำเป็นต้องมุ่งเน้นไปที่กระบวนการกู้คืนและจัดการกับปัญหาที่เกิดขึ้นหลังจากนั้นโดยสมมติว่ามี โปรดจำไว้ว่าเป้าหมายโดยรวมของคุณเช่นเดียวกับก่อนการฝ่าฝืนคือการลดผลกระทบที่มีต่อ บริษัท พนักงานและลูกค้าของคุณ

การวางแผนเพื่อการกู้คืน

การวางแผนการกู้คืนประกอบด้วยสองหมวดหมู่กว้าง ๆ ประการแรกคือการแก้ไขความเสียหายที่เกิดจากการฝ่าฝืนและตรวจสอบให้แน่ใจว่ากำจัดภัยคุกคามจริง ๆ ประการที่สองคือการดูแลความเสี่ยงทางการเงินและทางกฎหมายที่มาพร้อมกับการละเมิดข้อมูล ตราบใดที่สุขภาพในอนาคตขององค์กรของคุณดำเนินต่อไปทั้งสองมีความสำคัญเท่าเทียมกัน

“ การบรรจุเป็นกุญแจสำคัญในแง่ของการฟื้นตัว” ฌอนเบลนคอร์รองประธานฝ่ายวิศวกรรมโซลูชั่นและบริการที่ปรึกษาสำหรับการป้องกันที่มีการจัดการและการตอบสนอง eSentire กล่าว "ยิ่งเราตรวจจับภัยคุกคามได้เร็วเท่าไหร่

เบลนคอร์กล่าวว่าการคุกคามนั้นมีความแตกต่างกันไปขึ้นอยู่กับประเภทของภัยคุกคาม ตัวอย่างเช่นในกรณีของแรนซัมแวร์อาจหมายถึงการใช้แพลตฟอร์มการป้องกันปลายทางที่มีการจัดการของคุณเพื่อช่วยแยกมัลแวร์พร้อมกับการติดเชื้อครั้งที่สองเพื่อให้ไม่สามารถแพร่กระจายได้จากนั้นจึงลบออก นอกจากนี้ยังอาจหมายถึงการนำกลยุทธ์ใหม่มาใช้เพื่อให้การละเมิดในอนาคตถูกบล็อกเช่นการเตรียมการโรมมิ่งและการสื่อสารผู้ใช้ด้วยบัญชีเครือข่ายส่วนตัวเสมือนส่วนตัว (VPN)

อย่างไรก็ตามภัยคุกคามประเภทอื่น ๆ อาจต้องการกลยุทธ์ที่แตกต่างกัน ตัวอย่างเช่นการโจมตีที่ค้นหาข้อมูลทางการเงินทรัพย์สินทางปัญญา (IP) หรือข้อมูลอื่น ๆ จากองค์กรของคุณจะไม่ถูกจัดการในลักษณะเดียวกับการโจมตี ransomware ในกรณีดังกล่าวคุณอาจต้องค้นหาและกำจัดเส้นทางของการเข้าและคุณจะต้องหาวิธีหยุดคำสั่งและข้อความควบคุม ในทางกลับกันสิ่งนี้จะทำให้คุณต้องตรวจสอบและจัดการการรับส่งข้อมูลเครือข่ายของคุณสำหรับข้อความเหล่านั้นเพื่อให้คุณสามารถดูว่าพวกเขามาจากที่ใดและพวกเขากำลังส่งข้อมูลอยู่ที่ไหน

"ผู้โจมตีมีความได้เปรียบผู้เสนอญัตติแรก" Blenkhorn กล่าว "คุณต้องมองหาความผิดปกติ"

ความผิดปกติเหล่านั้นจะนำคุณไปสู่ทรัพยากรซึ่งมักจะเป็นเซิร์ฟเวอร์ที่ให้การเข้าถึงหรือการให้การกรอง เมื่อคุณพบแล้วคุณสามารถลบมัลแวร์และเรียกคืนเซิร์ฟเวอร์ อย่างไรก็ตามเบลนคอร์นเตือนว่าคุณอาจจำเป็นต้องอิมเมจเซิร์ฟเวอร์อีกครั้งเพื่อให้แน่ใจว่ามัลแวร์ใด ๆ หายไปจริงๆ

แตกขั้นตอนการกู้คืน

Blenkhorn กล่าวว่ามีสามสิ่งเพิ่มเติมที่ต้องจำเมื่อวางแผนสำหรับการกู้คืนการละเมิด:

1. การละเมิดนั้นหลีกเลี่ยงไม่ได้
2. เทคโนโลยีเพียงอย่างเดียวไม่สามารถแก้ปัญหาได้และ
3. คุณต้องถือว่ามันเป็นภัยคุกคามที่คุณไม่เคยเห็นมาก่อน

แต่เมื่อคุณกำจัดภัยคุกคามได้แล้วคุณจะทำการกู้คืนได้เพียงครึ่งเดียว อีกครึ่งหนึ่งคือการปกป้องธุรกิจของตัวเอง จากข้อมูลของ Ari Vared ผู้อำนวยการอาวุโสฝ่ายผลิตภัณฑ์ของ CyberPolicy ผู้ให้บริการด้านการประกันภัยหมายถึงการเตรียมพันธมิตรการกู้คืนของคุณล่วงหน้า

"นี่คือที่ที่มีแผนกู้คืนไซเบอร์ที่สามารถบันทึกธุรกิจ" Vared บอก PCMag ในอีเมล "นั่นหมายถึงการทำให้แน่ใจว่าทีมกฎหมายของคุณทีมนิติเวชข้อมูลทีมประชาสัมพันธ์ของคุณและพนักงานหลักของคุณรู้ล่วงหน้าว่าต้องทำอะไรเมื่อมีการฝ่าฝืน"

ขั้นตอนแรกนั้นหมายถึงการระบุพันธมิตรการกู้คืนของคุณล่วงหน้าแจ้งให้พวกเขาทราบถึงแผนของคุณและดำเนินการใด ๆ ที่จำเป็นเพื่อรักษาบริการของพวกเขาไว้ในกรณีที่เกิดการฝ่าฝืน ฟังดูเหมือนเป็นภาระการบริหารจำนวนมาก แต่ Vared ระบุเหตุผลสำคัญสี่ประการที่ทำให้กระบวนการคุ้มค่ากับความพยายาม:

1. หากมีความจำเป็นสำหรับข้อตกลงการไม่เปิดเผยและการรักษาความลับนั้นสามารถตกลงล่วงหน้าพร้อมค่าธรรมเนียมและข้อกำหนดอื่น ๆ เพื่อให้คุณไม่เสียเวลาหลังจากที่ไซเบอร์พยายามที่จะเจรจากับผู้ขายรายใหม่
2. หากคุณมีประกันไซเบอร์ตัวแทนของคุณอาจระบุคู่ค้าเฉพาะไว้แล้ว ในกรณีนี้คุณจะต้องใช้ทรัพยากรเหล่านั้นเพื่อให้แน่ใจว่าครอบคลุมค่าใช้จ่ายตามนโยบาย
3. ผู้ให้บริการประกันภัยไซเบอร์ของคุณอาจมีแนวทางสำหรับจำนวนเงินที่จะครอบคลุมในบางแง่มุมและเจ้าของธุรกิจขนาดกลางถึงขนาดกลาง (SMB) จะต้องการตรวจสอบให้แน่ใจว่าค่าธรรมเนียมของผู้ขายนั้นอยู่ในหลักเกณฑ์เหล่านั้น
4. บริษัท ประกันภัยไซเบอร์บางแห่งจะมีพันธมิตรการกู้คืนที่จำเป็นภายใน บริษัท ทำให้เป็นโซลูชั่นแบบเบ็ดเสร็จสำหรับเจ้าของธุรกิจเนื่องจากมีความสัมพันธ์อยู่แล้วและบริการจะได้รับการคุ้มครองโดยอัตโนมัติภายใต้นโยบาย

แก้ไขปัญหาทางกฎหมายและนิติวิทยาศาสตร์

Vared กล่าวว่าทีมกฎหมายและทีมนิติเวชของคุณมีความสำคัญสูงหลังจากการโจมตี ทีมนิติเวชจะดำเนินการขั้นตอนแรกในการกู้คืนตามที่ Blenkhorn ระบุไว้ ดังที่ชื่อบ่งบอกถึงทีมนี้อยู่ที่นั่นเพื่อค้นหาว่าเกิดอะไรขึ้นและที่สำคัญกว่านั้นคืออย่างไร นี่ไม่ใช่การตำหนิ เพื่อระบุช่องโหว่ที่อนุญาตให้มีการละเมิดเพื่อให้คุณสามารถเสียบได้ นั่นเป็นความแตกต่างที่สำคัญที่ต้องทำกับพนักงานก่อนที่ทีมนิติเวชจะมาถึงเพื่อหลีกเลี่ยงความอาฆาตแค้นหรือความกังวลที่ไม่เหมาะสม

Vared ตั้งข้อสังเกตว่าทีมกฎหมายที่ตอบสนองต่อการละเมิดอาจไม่ได้เป็นคนเดียวกันที่จัดการงานด้านกฎหมายแบบดั้งเดิมสำหรับธุรกิจของคุณ แต่พวกเขาจะเป็นกลุ่มเฉพาะที่มีประสบการณ์ในการรับมือกับผลที่ตามมาจากการโจมตีไซเบอร์ ทีมนี้อาจปกป้องคุณจากการถูกฟ้องร้องเนื่องจากการฝ่าฝืนการจัดการกับหน่วยงานกำกับดูแลหรือแม้กระทั่งการจัดการการเจรจากับโจรไซเบอร์และค่าไถ่ของพวกเขา

ในขณะเดียวกันทีมประชาสัมพันธ์ของคุณจะทำงานร่วมกับทีมกฎหมายของคุณเพื่อจัดการกับข้อกำหนดการแจ้งเตือนสื่อสารกับลูกค้าของคุณเพื่ออธิบายการละเมิดและการตอบสนองของคุณและอาจอธิบายรายละเอียดเดียวกันกับสื่อ

ในที่สุดเมื่อคุณทำตามขั้นตอนที่จำเป็นในการกู้คืนจากการฝ่าฝืนคุณจะต้องรวบรวมทีมเหล่านั้นร่วมกับผู้บริหารระดับ C และมีการประชุมและรายงานหลังการกระทำ รายงานหลังการกระทำมีความสำคัญอย่างยิ่งต่อการเตรียมองค์กรของคุณให้พร้อมสำหรับการฝ่าฝืนครั้งต่อไปโดยการพิจารณาว่าอะไรถูกอะไรผิดไปและสิ่งใดที่สามารถทำได้เพื่อปรับปรุงการตอบสนองของคุณในครั้งต่อไป

ทดสอบแผนของคุณ

• 6 สิ่งที่ไม่ควรทำหลังจากการฝ่าฝืนข้อมูล 6 สิ่งที่ไม่ควรทำหลังจากการฝ่าฝืนข้อมูล
• การรั่วไหลของข้อมูลทำลายสถิติ 4.5 พันล้านระเบียนในครึ่งแรกของปี 2561 การรั่วไหลของข้อมูลทำลายสถิติ 4.5 พันล้านเร็กคอร์ดในครึ่งแรกของปี 2561
• คาเธ่ย์แปซิฟิคเปิดเผยการละเมิดข้อมูลที่มีผลต่อผู้โดยสาร 9.4 ล้านคนคาเธ่ย์แปซิฟิกเปิดเผยการละเมิดข้อมูลที่มีผลต่อผู้โดยสาร 9.4 ล้านคน

ทั้งหมดนี้อนุมานว่าแผนของคุณรู้สึกดีและดำเนินการอย่างมีประสิทธิภาพในกรณีที่มีสิ่งไม่ดี น่าเสียดายที่นั่นไม่ใช่ข้อสันนิษฐานที่ปลอดภัย วิธีเดียวที่จะมั่นใจได้ว่าแผนของคุณมีโอกาสประสบความสำเร็จคือการฝึกฝนเมื่อมีการเตรียม ผู้เชี่ยวชาญที่คุณมีส่วนร่วมที่จัดการกับการโจมตีทางไซเบอร์เนื่องจากกิจกรรมปกติในธุรกิจของพวกเขาจะไม่ทำให้คุณต่อต้านการฝึกฝนแผนของคุณ - พวกเขาคุ้นเคยกับสิ่งนั้นและคาดว่าจะเกิดขึ้น แต่เนื่องจากพวกเขาเป็นบุคคลภายนอกคุณจะต้องตรวจสอบให้แน่ใจว่าพวกเขามีกำหนดการสำหรับการฝึกซ้อมและคุณอาจต้องจ่ายเงินตามเวลา ซึ่งหมายความว่าสิ่งสำคัญคือปัจจัยที่มีผลต่อการจัดทำงบประมาณของคุณไม่ใช่เพียงครั้งเดียว แต่เป็นประจำ

พื้นฐานนั้นขึ้นอยู่กับว่าพนักงานในบ้านของคุณตอบสนองต่อการทดสอบครั้งแรกของคุณอย่างไร การทดสอบครั้งแรกของคุณจะล้มเหลวในบางแง่มุมหรืออาจเป็นไปได้ทั้งหมด คาดว่าจะเกิดขึ้นเนื่องจากคำตอบนี้จะซับซ้อนและเป็นภาระสำหรับการฝึกซ้อมดับเพลิงอย่างง่าย สิ่งที่คุณต้องทำคือการวัดความรุนแรงของความล้มเหลวนั้นและใช้เป็นพื้นฐานในการตัดสินความถี่และขอบเขตที่คุณต้องฝึกเพื่อตอบสนอง โปรดจำไว้ว่าการฝึกซ้อมดับเพลิงนั้นมีไว้สำหรับภัยพิบัติที่ธุรกิจส่วนใหญ่จะไม่มีทางประสบ การเจาะโจมตีทางไซเบอร์ของคุณนั้นเป็นภัยพิบัติที่หลีกเลี่ยงไม่ได้ในบางช่วงเวลา