Hof van Twente uzlaušana (2020): 5 mācības pašvaldībām

Kas notika

Uzbrucēji iekļuva caur vāju paroli administratora kontā, kuram turklāt bija izslēgta divfaktoru autentifikācija. Bez tam kāda servera piekļuves vārti (RDP) jau ilgāku laiku bija atvērti pret internetu. Tā noziedznieki varēja šifrēt sistēmas un, kas ir izšķiroši, arī padarīt rezerves kopijas nelietojamas. Atjaunošana no tīras rezerves kopijas tādēļ nebija iespējama. Pašvaldībai daudz kas bija jāizveido no jauna; pakalpojumu sniegšana iedzīvotājiem nedēļām ilgi bija izjaukta. Kopējie zaudējumi tika lēsti aptuveni četru miljonu eiro apmērā, kaut arī uzbrucēji prasīja daudz mazāku izpirkuma maksu. Pašvaldība nemaksāja.

1. mācība: Rezerves kopijas ir rezerves kopijas tikai tad, ja tās ir bezsaistē

Vissāpīgākā mācība: ja jūsu rezerves kopijas ir pieslēgtas tam pašam tīklam, izspiedējvīruss tās šifrē līdzi. Parūpējieties par rezerves kopijām, kas ir bezsaistē vai nemaināmas (immutable) un kas nav sasniedzamas no parastā tīkla. Turklāt regulāri pārbaudiet, vai jūs no rezerves kopijas patiešām varat atjaunot. Rezerves kopija, kuru jūs nekad neesat atjaunojis, ir pieņēmums, nevis pārliecība.

2. mācība: Sakārtota pamatdrošība novērš lielāko daļu nelaimju

Uzbrukums nebija meistardarbs. Greizi nogāja pašos pamatos. Šie pamati ir sasniedzami ikvienai pašvaldībai.

• Spēcīgas, unikālas paroles un obligāta divfaktoru autentifikācija, jo īpaši administratora kontos.
• Nekādas administratora piekļuves (piemēram, RDP) tieši atvērtas pret internetu.
• Laikus veikt ielāpu uzstādīšanu un izslēgt nevajadzīgus pakalpojumus.
• Tīkla segmentācija, lai inficēšanās nevarētu izplatīties visur.

3. mācība: Komunicējiet ar iedzīvotājiem par pārtrauktajiem pakalpojumiem

Iedzīvotājiem svarīga ir nevis tehnika, bet jautājums: vai es varu pieteikt savu pasi, savu pabalstu, savu atļauju? Esiet šeit ātri un godīgi: kuri pakalpojumi ir apturēti, kādas ir alternatīvas un kad būs vairāk ziņu. Kur iespējams, piedāvājiet avārijas apkalpošanas punktu vai telefonisku ceļu. Un atkārtojiet vēstījumu konsekventi visos kanālos. Neskaidrība palielina neapmierinātību vairāk nekā pats traucējums.

4. mācība: Iesaistiet juristus un privātumu jau no pirmās minūtes

Uzlaušanas gadījumā bieži tiek nozagti personas dati. Tas padara to ne tikai par IKT krīzi, bet arī par privātuma jautājumu. Tāpēc uzreiz iesaistiet datu aizsardzības speciālistu un juridisko ekspertīzi un izvērtējiet, vai ir notikusi datu noplūde. Par datu noplūdi 72 stundu laikā jāziņo Datu aizsardzības iestādei, un augsta riska gadījumā jāinformē skartie iedzīvotāji. Ārēji tiesu ekspertīzes speciālisti palīdz izmeklēšanā; fiksējiet, kas, ko un kad dara.

5. mācība: Pārvaldība un ziņošanas pienākumi (NIS2, BIO2, VDAR)

Būtisks secinājums Hof van Twente gadījumā bija, ka signāli par informācijas drošību nepietiekami nonāca pie vadības. Tāpēc uzticiet informācijas drošību vadības līmenī, ar CISO un savu budžetu, un parūpējieties, lai riski būtu redzami. Pašvaldības strādā saskaņā ar BIO2 un VDAR un ir pakļautas Kiberdrošības likumam (NIS2). Par kiberincidentu jāziņo NCSC un nozares CSIRT; par datu noplūdi 72 stundu laikā — Datu aizsardzības iestādei. Iesaistiet pašvaldībām paredzēto Informācijas drošības dienestu (IBD) un fiksējiet visus ziņojumus.

Kā šeit palīdz CrisisRadar

CrisisRadar apvieno vadību, CISO, datu aizsardzības speciālistu, komunikāciju ar sabiedrību un ārējos ekspertus vienā kopīgā krīzes ainā. Jūs fiksējat faktus ar avotu, dažu minūšu laikā sagatavojat vēstījumu iedzīvotājiem un ziņojumu uzraugam un ar ziņošanas pienākuma taimeriem uzraugāt VDAR un NIS2 termiņus. Ārēji tiesu ekspertīzes partneri iesaistās, izmantojot drošu, pagaidu viesa piekļuvi. Vai vēlaties redzēt, kā kiberuzbrukums ar datu noplūdi platformā izskatās soli pa solim? Tad aplūkojiet attiecīgo prakses situāciju.

Stappenplan

Veelgestelde vragen

Kā pašvaldību Hof van Twente varēja uzlauzt?

Uzbrucēji iekļuva caur vāju paroli administratora kontā bez divfaktoru autentifikācijas, turklāt arī administratora vārti (RDP) bija atvērti pret internetu. Tā viņi varēja šifrēt sistēmas un pat rezerves kopijas.

Kāpēc pašvaldība nevarēja vienkārši atjaunot no rezerves kopijas?

Tāpēc, ka rezerves kopijas bija pieslēgtas tam pašam tīklam un tādēļ tika šifrētas līdzi. Tas parāda, kāpēc rezerves kopijām jābūt bezsaistē vai nemaināmām un kāpēc atjaunošana regulāri jāpārbauda.

Kāds ziņošanas pienākums attiecas uz kiberuzbrukumu pašvaldībai?

Par datu noplūdi 72 stundu laikā jāziņo Datu aizsardzības iestādei; augsta riska gadījumā jāinformē iedzīvotāji. Par kiberincidentu saskaņā ar Kiberdrošības likumu (NIS2) jāziņo NCSC un CSIRT. Pašvaldības iesaista arī Informācijas drošības dienestu (IBD).