Vdor v Hof van Twente (2020): 5 naukov za občine

Kaj se je zgodilo

Napadalci so vstopili prek šibkega gesla na skrbniškem računu, pri katerem je bilo poleg tega izklopljeno dvostopenjsko preverjanje pristnosti. Poleg tega je bila že dlje časa iz interneta dosegljiva dostopna vrata (RDP) strežnika. Tako so lahko kriminalci šifrirali sisteme in, kar je ključno, tudi onesposobili varnostne kopije. Obnovitev iz čiste varnostne kopije zato ni bila mogoča. Občina je morala marsikaj graditi na novo; opravljanje storitev za prebivalce je bilo tedne dolgo ohromljeno. Skupna škoda je bila ocenjena na približno štiri milijone evrov, medtem ko so napadalci zahtevali precej nižjo odkupnino. Občina ni plačala.

Nauk 1: Varnostne kopije so kopije šele, ko so brez povezave

Najbolj boleč nauk: če so vaše varnostne kopije priključene na isto omrežje, jih izsiljevalska programska oprema šifrira zraven. Poskrbite za varnostne kopije, ki so brez povezave (offline) ali nespremenljive (immutable) in do katerih iz običajnega omrežja ni dostopa. Poleg tega redno preverjajte, ali se iz varnostne kopije res lahko obnovite. Varnostna kopija, ki je nikoli niste povrnili, je domneva, ne gotovost.

Nauk 2: Urejena osnova prepreči večino nesreče

Napad ni bil mojstrovina. Zataknilo se je pri osnovi. Ta osnova je dosegljiva za vsako občino.

• Močna, edinstvena gesla in obvezno dvostopenjsko preverjanje pristnosti, zlasti na skrbniških računih.
• Skrbniški dostop (kot je RDP) naj ne bo neposredno odprt iz interneta.
• Pravočasno nameščanje popravkov in izklop nepotrebnih storitev.
• Segmentacija omrežja, da se okužba ne more razširiti povsod.

Nauk 3: S prebivalci komunicirajte o izpadlih storitvah

Za prebivalce ne šteje tehnika, temveč vprašanje: ali lahko zaprosim za potni list, za nadomestilo, za dovoljenje? Bodite pri tem hitri in iskreni: katere storitve so ohromljene, katere so nadomestne možnosti in kdaj bo več novic. Kjer je mogoče, ponudite izredno okence ali telefonsko pot. Sporočilo dosledno ponavljajte na vseh kanalih. Nejasnost poveča nezadovoljstvo bolj kot sama motnja.

Nauk 4: Pravno in varstvo podatkov vključite od prve minute

Pri vdoru so pogosto odtujeni osebni podatki. To ni le kriza IT, temveč tudi vprašanje varstva podatkov. Zato takoj vključite pooblaščeno osebo za varstvo podatkov in pravno strokovnost ter ocenite, ali gre za kršitev varstva podatkov. Kršitev varstva podatkov v 72 urah prijavite organu za varstvo podatkov (Autoriteit Persoonsgegevens), pri visokem tveganju pa obvestite prizadete prebivalce. Zunanji forenzični strokovnjaki pomagajo pri preiskavi; zabeležite, kdo kaj počne in kdaj.

Nauk 5: Upravljanje in obveznosti poročanja (NIS2, informacijska varnost, GDPR)

Pomembna ugotovitev v Hof van Twente je bila, da signali o informacijski varnosti niso dovolj prihajali do vodstva. Informacijsko varnost zato umestite na vodstveno raven, z varnostnim vodjo (CISO) in lastnim proračunom, ter poskrbite, da so tveganja vidna. Občine delujejo po baznem standardu informacijske varnosti (BIO) in po AVG (GDPR) ter spadajo pod zakon o kibernetski varnosti (NIS2). Kibernetski incident prijavite nacionalnemu centru za kibernetsko varnost (NCSC) in sektorski skupini za odzivanje (CSIRT); kršitev varstva podatkov v 72 urah organu za varstvo podatkov. Vključite tudi službo za informacijsko varnost občin in zabeležite vse prijave.

Kako pri tem pomaga CrisisRadar

CrisisRadar poveže vodstvo, varnostnega vodjo (CISO), pooblaščeno osebo za varstvo podatkov, odnose z javnostmi in zunanje strokovnjake v skupno krizno sliko. Dejstva z virom zabeležite, v nekaj minutah sestavite sporočilo za prebivalce in prijavo za nadzorni organ ter s časovniki obveznosti poročanja bdite nad roki po GDPR in NIS2. Zunanji forenzični izvajalci sodelujejo prek varnega, začasnega gostujočega dostopa. Želite videti, kako kibernetski napad s kršitvijo varstva podatkov korak za korakom izgleda na platformi? Oglejte si pripadajočo situacijo iz prakse.

Stappenplan

Veelgestelde vragen

Kako je bilo mogoče vdreti v občino Hof van Twente?

Napadalci so vstopili prek šibkega gesla na skrbniškem računu brez dvostopenjskega preverjanja pristnosti, medtem ko so bila iz interneta odprta tudi skrbniška vrata (RDP). Tako so lahko šifrirali sisteme in celo varnostne kopije.

Zakaj se občina ni mogla preprosto obnoviti iz varnostne kopije?

Ker so bile varnostne kopije priključene na isto omrežje in so bile zato šifrirane zraven. To kaže, zakaj morajo biti varnostne kopije brez povezave ali nespremenljive in zakaj je treba obnovitev redno preizkušati.

Katera obveznost poročanja velja pri kibernetskem napadu na občino?

Kršitev varstva podatkov v 72 urah prijavite organu za varstvo podatkov (Autoriteit Persoonsgegevens); pri visokem tveganju obvestite prebivalce. Kibernetski incident na podlagi zakona o kibernetski varnosti (NIS2) prijavite NCSC in skupini za odzivanje (CSIRT). Občine vključijo tudi službo za informacijsko varnost občin.