Atacul asupra Hof van Twente (2020): 5 lecții pentru primării

Ce s-a întâmplat

Atacatorii au intrat printr-o parolă slabă la un cont de administrare, la care în plus autentificarea în doi factori era dezactivată. Pe deasupra, de mai mult timp era deschis către internet un punct de acces (RDP) al unui server. Astfel, infractorii au putut cripta sistemele și, crucial, au putut face inutilizabile și copiile de rezervă. Refacerea dintr-o copie de rezervă curată nu a mai fost, prin urmare, o opțiune. Primăria a trebuit să reconstruiască multe de la zero; serviciile pentru cetățeni au fost date peste cap săptămâni întregi. Paguba totală a fost estimată la aproximativ patru milioane de euro, în timp ce atacatorii cereau o răscumpărare mult mai mică. Primăria nu a plătit.

Lecția 1: Copiile de rezervă sunt copii de rezervă abia când sunt offline

Cea mai dureroasă lecție: dacă copiile de rezervă sunt conectate la aceeași rețea, ransomware-ul le criptează odată cu restul. Asigurați copii de rezervă care sunt offline sau imuabile (immutable) și care nu pot fi accesate din rețeaua obișnuită. Testați în plus regulat dacă puteți reface cu adevărat dintr-o copie de rezervă. O copie de rezervă pe care nu ați restaurat-o niciodată este o presupunere, nu o certitudine.

Lecția 2: Baza în ordine previne cele mai multe necazuri

Atacul nu a fost o performanță tehnică. A eșuat pe elemente de bază. Această bază este realizabilă pentru orice primărie.

• Parole puternice, unice și autentificare în doi factori obligatorie, cu siguranță la conturile de administrare.
• Niciun acces de administrare (precum RDP) deschis direct către internet.
• Aplicarea la timp a actualizărilor și dezactivarea serviciilor inutile.
• Segmentarea rețelei, astfel încât o infectare să nu se poată răspândi peste tot.

Lecția 3: Comunicați cu cetățenii despre serviciile căzute

Pentru cetățeni nu contează tehnica, ci întrebarea: îmi pot solicita pașaportul, ajutorul social, autorizația? Fiți în acest sens rapizi și sinceri: ce servicii sunt căzute, ce alternative există și când vor fi mai multe vești. Oferiți acolo unde este posibil un ghișeu de urgență sau o rută telefonică. Și repetați mesajul consecvent pe toate canalele. Neclaritatea mărește nemulțumirea mai mult decât avaria însăși.

Lecția 4: Implicați juridicul și protecția datelor din minutul unu

La un atac sunt adesea sustrase date cu caracter personal. Aceasta îl transformă nu doar într-o criză IT, ci și într-o problemă de confidențialitate. De aceea, implicați imediat responsabilul cu protecția datelor și expertiza juridică și evaluați dacă există o încălcare de securitate a datelor. O încălcare de securitate a datelor se notifică în 72 de ore la Autoritatea pentru Protecția Datelor, iar la risc ridicat informați cetățenii vizați. Experții forensici externi ajută la anchetă; consemnați cine ce face și când.

Lecția 5: Guvernanță și obligații de notificare (NIS2, BIO2, GDPR)

O concluzie importantă la Hof van Twente a fost că semnalele despre securitatea informației ajungeau insuficient la conducere. De aceea, plasați securitatea informației la nivel de conducere, cu un CISO și un buget propriu, și asigurați-vă că riscurile sunt vizibile. Primăriile lucrează conform BIO2 și GDPR și intră sub Legea privind securitatea cibernetică (NIS2). Un incident cibernetic se notifică la NCSC și la CSIRT-ul sectorial; o încălcare de securitate a datelor în 72 de ore la Autoritatea pentru Protecția Datelor. Apelați la Serviciul de Securitate a Informației (IBD) pentru primării și consemnați toate notificările.

Cum vă ajută CrisisRadar

CrisisRadar aduce conducerea, CISO-ul, responsabilul cu protecția datelor, comunicarea publică și experții externi într-o imagine de criză comună. Consemnați faptele cu sursă, formulați în câteva minute un mesaj pentru cetățeni și o notificare pentru autoritatea de supraveghere și supravegheați cu cronometrele obligațiilor de notificare termenele GDPR și NIS2. Părțile forensice externe colaborează printr-un acces de invitat sigur și temporar. Doriți să vedeți cum arată, pas cu pas, un atac cibernetic cu încălcare de securitate a datelor în platformă? Consultați atunci situația practică aferentă.

Stappenplan

Veelgestelde vragen

Cum a putut fi spartă primăria Hof van Twente?

Atacatorii au intrat printr-o parolă slabă la un cont de administrare fără autentificare în doi factori, în timp ce și un port de administrare (RDP) era deschis către internet. Astfel au putut cripta sistemele și chiar copiile de rezervă.

De ce nu a putut primăria să refacă pur și simplu dintr-o copie de rezervă?

Pentru că copiile de rezervă erau conectate la aceeași rețea și au fost deci criptate odată cu restul. Acest lucru arată de ce copiile de rezervă trebuie să fie offline sau imuabile și de ce trebuie să testați refacerea în mod regulat.

Ce obligație de notificare se aplică la un atac cibernetic asupra unei primării?

O încălcare de securitate a datelor se notifică în 72 de ore la Autoritatea pentru Protecția Datelor; la risc ridicat informați cetățenii. Un incident cibernetic se notifică conform Legii privind securitatea cibernetică (NIS2) la NCSC și la CSIRT. Primăriile apelează și la Serviciul de Securitate a Informației (IBD).