Hof van Twente įsilaužimas (2020): 5 pamokos savivaldybėms

Kas nutiko

Užpuolikai pateko per silpną administravimo paskyros slaptažodį, kuriam be to buvo išjungtas dviejų veiksnių tapatybės nustatymas. Be to, ilgą laiką serverio prieigos vartai (RDP) buvo atviri internetui. Taip nusikaltėliai galėjo užšifruoti sistemas ir, kas svarbiausia, paversti nenaudojamomis ir atsargines kopijas. Dėl to atkūrimas iš švarios atsarginės kopijos nebuvo įmanomas. Savivaldybė turėjo daug ką kurti iš naujo; paslaugos gyventojams savaites neveikė. Bendra žala įvertinta apie keturiais milijonais eurų, nors užpuolikai reikalavo kur kas mažesnės išpirkos. Savivaldybė nemokėjo.

1 pamoka: atsarginės kopijos tampa atsarginėmis tik tada, kai yra atjungtos

Skaudžiausia pamoka: jei jūsų atsarginės kopijos prijungtos prie to paties tinklo, išpirkos reikalaujanti programa jas užšifruoja kartu. Pasirūpinkite atsarginėmis kopijomis, kurios yra atjungtos ar nekeičiamos (immutable) ir kurių negalima pasiekti iš įprasto tinklo. Be to, reguliariai tikrinkite, ar iš atsarginės kopijos tikrai galite atkurti. Atsarginė kopija, kurios niekada neatstatėte, yra prielaida, o ne tikrumas.

2 pamoka: sutvarkyta bazė padeda išvengti daugumos bėdų

Ataka nebuvo aukšto lygio. Nesėkmė įvyko bazėje. Ši bazė yra pasiekiama kiekvienai savivaldybei.

• Stiprūs, unikalūs slaptažodžiai ir privalomas dviejų veiksnių tapatybės nustatymas, ypač administravimo paskyroms.
• Jokios administravimo prieigos (kaip RDP) tiesiogiai atviros internetui.
• Laiku diegti pataisas ir išjungti nereikalingas paslaugas.
• Tinklo segmentavimas, kad užkrėtimas negalėtų plisti visur.

3 pamoka: komunikuokite su gyventojais apie neveikiančias paslaugas

Gyventojams svarbi ne technika, o klausimas: ar galiu užsisakyti pasą, gauti pašalpą, leidimą? Todėl būkite greiti ir sąžiningi: kokios paslaugos neveikia, kokios yra alternatyvos ir kada bus daugiau naujienų. Kur įmanoma, pasiūlykite avarinį langelį ar telefoninį kelią. Ir nuosekliai kartokite žinutę visuose kanaluose. Neaiškumas didina nepasitenkinimą labiau nei pats sutrikimas.

4 pamoka: įtraukite teisininkus ir privatumą nuo pirmos minutės

Įvykus įsilaužimui dažnai pavagiami asmens duomenys. Dėl to tai tampa ne tik IT krize, bet ir privatumo klausimu. Todėl iš karto įtraukite duomenų apsaugos pareigūną ir teisinę kompetenciją bei įvertinkite, ar įvyko duomenų saugumo pažeidimas. Apie duomenų saugumo pažeidimą per 72 valandas pranešate Autoriteit Persoonsgegevens, o esant dideliam pavojui informuojate susijusius gyventojus. Išoriniai teismo ekspertizės specialistai padeda tyrime; užfiksuokite, kas ką ir kada daro.

5 pamoka: valdysena ir pranešimo prievolės (NIS2, BIO2, BDAR)

Svarbi Hof van Twente išvada buvo ta, kad signalai apie informacijos saugumą nepakankamai pasiekdavo vadovybę. Todėl informacijos saugumą pavesti valdymo lygmeniui, su CISO ir atskiru biudžetu, ir pasirūpinti, kad rizikos būtų matomos. Savivaldybės dirba pagal BIO2 ir BDAR ir joms taikomas Kibernetinio saugumo įstatymas (NIS2). Apie kibernetinį incidentą pranešate NCSC ir sektoriniam CSIRT; apie duomenų saugumo pažeidimą per 72 valandas Autoriteit Persoonsgegevens. Pasitelkite savivaldybių Informatiebeveiligingsdienst (IBD) ir užfiksuokite visus pranešimus.

Kaip čia padeda CrisisRadar

CrisisRadar sujungia vadovybę, CISO, duomenų apsaugos pareigūną, atstovus spaudai ir išorinius ekspertus į bendrą krizės vaizdą. Jūs fiksuojate faktus su šaltiniu, per kelias minutes parengiate žinutę gyventojams ir pranešimą priežiūros institucijai bei pranešimo prievolių laikmačiais stebite BDAR ir NIS2 terminus. Išorinės teismo ekspertizės šalys dirba per saugią, laikiną svečio prieigą. Norite pamatyti, kaip kibernetinė ataka su duomenų saugumo pažeidimu žingsnis po žingsnio atrodo platformoje? Peržiūrėkite atitinkamą praktinę situaciją.

Stappenplan

Veelgestelde vragen

Kaip Hof van Twente savivaldybė galėjo būti nulaužta?

Užpuolikai pateko per silpną administravimo paskyros slaptažodį be dviejų veiksnių tapatybės nustatymo, o administravimo vartai (RDP) buvo atviri internetui. Taip jie galėjo užšifruoti sistemas ir net atsargines kopijas.

Kodėl savivaldybė negalėjo tiesiog atkurti iš atsarginės kopijos?

Todėl, kad atsarginės kopijos buvo prijungtos prie to paties tinklo, tad buvo užšifruotos kartu. Tai rodo, kodėl atsarginės kopijos turi būti atjungtos ar nekeičiamos ir kodėl atkūrimą reikia reguliariai išbandyti.

Kokia pranešimo prievolė galioja įvykus kibernetinei atakai prieš savivaldybę?

Apie duomenų saugumo pažeidimą per 72 valandas pranešate Autoriteit Persoonsgegevens; esant dideliam pavojui informuojate gyventojus. Apie kibernetinį incidentą pagal Kibernetinio saugumo įstatymą (NIS2) pranešate NCSC ir CSIRT. Savivaldybės taip pat pasitelkia Informatiebeveiligingsdienst (IBD).