A Hof van Twente-i feltörés (2020): 5 tanulság az önkormányzatoknak

Mi történt

A támadók egy adminisztrátori fiók gyenge jelszaván keresztül jutottak be, amelynél ráadásul ki volt kapcsolva a kétfaktoros hitelesítés. Emellett egy szerver egyik hozzáférési kapuja (RDP) már régóta nyitva állt az internet felé. Így a bűnözők titkosíthatták a rendszereket, és — ami döntő — a biztonsági mentéseket is használhatatlanná tehették. Egy tiszta biztonsági mentésről való helyreállítás emiatt nem volt lehetőség. Az önkormányzatnak sok mindent újra kellett építenie; a lakosoknak nyújtott szolgáltatás hetekig fennakadt. A teljes kárt körülbelül négymillió euróra becsülték, miközben a támadók ennél jóval alacsonyabb váltságdíjat kértek. Az önkormányzat nem fizetett.

1. tanulság: A biztonsági mentés csak akkor mentés, ha offline van

A legfájdalmasabb tanulság: ha a biztonsági mentései ugyanahhoz a hálózathoz kapcsolódnak, a zsarolóvírus azokat is titkosítja. Gondoskodjon offline vagy megváltoztathatatlan (immutable) biztonsági mentésekről, amelyek a hétköznapi hálózatból nem érhetők el. Ezenfelül rendszeresen tesztelje, hogy egy mentésről valóban tud-e helyreállítani. Egy mentés, amelyet soha nem állított vissza, feltételezés, nem bizonyosság.

2. tanulság: A rendben tartott alapok megelőzik a legtöbb bajt

A támadás nem volt mestermű. Az alapoknál ment félre. Ez az alap minden önkormányzat számára megvalósítható.

• Erős, egyedi jelszavak és kötelező kétfaktoros hitelesítés, különösen az adminisztrátori fiókoknál.
• Semmilyen adminisztrátori hozzáférés (például RDP) ne legyen közvetlenül nyitva az internet felé.
• Időben történő javítás (patch) és a szükségtelen szolgáltatások kikapcsolása.
• Hálózati szegmentálás, hogy egy fertőzés ne terjedhessen szét mindenhová.

3. tanulság: Kommunikáljon a lakosokkal a kiesett szolgáltatásokról

A lakosok számára nem a technika számít, hanem a kérdés: igényelhetem-e az útlevelemet, a járadékomat, az engedélyemet? Legyen ebben gyors és őszinte: mely szolgáltatások állnak, milyen alternatívák vannak, és mikor lesz több hír. Ahol lehetséges, kínáljon vészhelyzeti ügyfélpultot vagy telefonos útvonalat. És ismételje meg az üzenetet következetesen minden csatornán. A bizonytalanság jobban növeli az elégedetlenséget, mint maga az üzemzavar.

4. tanulság: Vonja be a jogi és az adatvédelmi szempontot az első perctől

Egy feltörésnél gyakran személyes adatokat zsákmányolnak. Ez nemcsak IT-válsággá, hanem adatvédelmi üggyé is teszi. Vonja be ezért az adatvédelmi tisztviselőt (functionaris gegevensbescherming) és a jogi szakértelmet azonnal, és mérlegelje, hogy fennáll-e adatvédelmi incidens. Egy adatvédelmi incidenst 72 órán belül jelent be az Autoriteit Persoonsgegevens (holland adatvédelmi hatóság) felé, magas kockázat esetén pedig tájékoztatja az érintett lakosokat. Külső törvényszéki (forenzikus) szakértők segítenek a vizsgálatban; rögzítse, ki mit mikor tesz.

5. tanulság: Irányítás és bejelentési kötelezettségek (NIS2, BIO2, GDPR)

A Hof van Twente-i egyik fontos következtetés az volt, hogy az információbiztonsággal kapcsolatos jelzések nem jutottak el kellő mértékben a vezetéshez. Helyezze ezért az információbiztonságot vezetői szintre, egy CISO-val és saját költségvetéssel, és gondoskodjon arról, hogy a kockázatok láthatók legyenek. Az önkormányzatok a BIO2 és a GDPR szerint működnek, és a kiberbiztonsági törvény (NIS2) hatálya alá esnek. Egy kiberincidenst a NCSC-nek és az ágazati CSIRT-nek jelent be; egy adatvédelmi incidenst 72 órán belül az Autoriteit Persoonsgegevens felé. Vonja be az önkormányzatok információbiztonsági szolgálatát (Informatiebeveiligingsdienst, IBD), és rögzítsen minden bejelentést.

Hogyan segít ebben a CrisisRadar

A CrisisRadar közös válsághelyzetképbe hozza össze a vezetőséget, a CISO-t, az adatvédelmi tisztviselőt, a szóvivőséget és a külső szakértőket. A tényeket forrással együtt rögzíti, percek alatt összeállít egy üzenetet a lakosoknak és egy bejelentést a felügyeleti hatóságnak, és bejelentési határidőt figyelő számlálókkal őrködik a GDPR- és NIS2-határidők felett. Külső törvényszéki (forenzikus) felek egy biztonságos, ideiglenes vendéghozzáférésen keresztül működnek közre. Szeretné látni, hogyan néz ki lépésről lépésre egy adatvédelmi incidenssel járó kibertámadás a platformon? Akkor tekintse meg a kapcsolódó gyakorlati helyzetet.

Stappenplan

Veelgestelde vragen

Hogyan törhették fel a Hof van Twente önkormányzatot?

A támadók egy adminisztrátori fiók gyenge jelszaván keresztül jutottak be, kétfaktoros hitelesítés nélkül, miközben egy adminisztrátori kapu (RDP) is nyitva állt az internet felé. Így titkosíthatták a rendszereket, sőt a biztonsági mentéseket is.

Miért nem tudott az önkormányzat egyszerűen helyreállítani egy biztonsági mentésről?

Mert a biztonsági mentések ugyanahhoz a hálózathoz kapcsolódtak, így azokat is titkosították. Ez megmutatja, miért kell a biztonsági mentéseknek offline vagy megváltoztathatatlannak lenniük, és miért kell a helyreállítást rendszeresen tesztelni.

Milyen bejelentési kötelezettség vonatkozik egy önkormányzat elleni kibertámadásra?

Egy adatvédelmi incidenst 72 órán belül jelent be az Autoriteit Persoonsgegevens felé; magas kockázat esetén tájékoztatja a lakosokat. Egy kiberincidenst a kiberbiztonsági törvény (NIS2) alapján a NCSC-nek és a CSIRT-nek jelent be. Az önkormányzatok az információbiztonsági szolgálatot (IBD) is bevonják.