Jedan sajber napad zaustavio je promet nekretnina u čitavoj zemlji.

Nakon napada na rumunsku Nacionalnu agenciju za katastar i registraciju zemljišta, ključni digitalni sistemi postali su nedostupni. Notari nisu mogli da obrađuju transakcije, građani da dobiju potrebne izvode, a banke da registruju hipoteke. Problem više nije bio samo u IT sistemu. Problem se reflektovao i na tržište nekretnina, finansijske institucije, kompanije i građane.

Iako se podaci o punom obimu incidenta koji se dogodio 14. jula još razlikuju, poslovna posledica je nesporna – kritične usluge danima nisu bile dostupne, a povratak sistema zahtevao je izolaciju pogođenog okruženja, proveru podataka i aplikacija i postepeno, kontrolisano vraćanje u rad.

Rumunski slučaj zato otvara pitanje koje bi danas trebalo da postavi svaka uprava:

Da li je dovoljno da znamo da imamo backup ili moramo da znamo koliko brzo i bezbedno možemo da obnovimo poslovanje?

Backup nije isto što i oporavak poslovanja

Organizacija može imati sigurnosne kopije svih važnih podataka, a da ipak danima ne može da nastavi rad.

Razlog je jednostavan – podaci su samo jedan deo sistema. Da bi se poslovna usluga vratila, potrebno je obnoviti aplikacije, infrastrukturu, korisničke naloge, pristupe, konfiguracije i veze sa drugim sistemima. Istovremeno se mora proveriti da li su kopije podataka potpune i ispravne i da li je okruženje u koje se vraćaju zaista bezbedno.

U praksi zato nije najvažnije samo pitanje: „Da li imamo backup?“

Mnogo važnija pitanja su:

• Koliko vremena nam je potrebno da vratimo ključnu poslovnu uslugu?
• Koliko podataka možemo da izgubimo, a da poslovanje ne bude ozbiljno ugroženo?
• Kojim redosledom vraćamo aplikacije i sisteme?
• Kako potvrđujemo da u produkciju ne vraćamo i bezbednosni problem?

Ako odgovori nisu provereni kroz konkretne testove, organizacija nema potvrđen plan oporavka – ima pretpostavku da će oporavak funkcionisati.

Jedan propust može biti dovoljan

Prema informacijama koje su rumunske institucije do sada objavile, napadači su najverovatnije kombinovali poznate, nezakrpljene ranjivosti i ranije kompromitovane pristupne podatke.

To je važna lekcija jer pokazuje da veliki incident ne mora uvek biti rezultat sofisticiranog napada. Ponekad je dovoljan pristup jednom nalogu, ranjivost koja nije otklonjena ili privilegije koje nisu dovoljno ograničene.

Zato se zaštita ne može osloniti na jedan proizvod ili jednu liniju odbrane. Zaštita identiteta, krajnjih uređaja, mreže, privilegovanih pristupa i backup okruženja mora biti povezana sa kontinuiranim nadzorom, pravovremenim reagovanjem i unapred definisanim planom oporavka.

Cilj nije stvaranje sistema za koji verujemo da nikada neće biti ugrožen. Cilj je da jedan kompromitovani nalog ili uređaj ne omogući napadaču da se neometano kreće kroz celu organizaciju i dođe do najkritičnijih sistema.

Brzina oporavka je poslovna, a ne samo IT metrika

Kada je ključni proces potpuno digitalizovan, nedostupnost sistema znači i nedostupnost poslovne usluge.

Svaki dodatni sat prekida može doneti:

• izgubljeni prihod
• nemogućnost ispunjavanja ugovornih obaveza
• prekid rada zaposlenih i partnera
• regulatorne i pravne posledice
• gubitak poverenja korisnika
• reputacionu štetu.

Zato odluku o prihvatljivom vremenu oporavka ne bi trebalo da donosi samo IT odeljenje. Poslovne funkcije moraju da odrede koji su procesi kritični, koliko dugo mogu da budu nedostupni i koji minimalni nivo rada mora da postoji dok traje oporavak.

Tek nakon toga tehnologija može da bude projektovana u skladu sa stvarnim poslovnim prioritetima.

Restore nije poslednji korak

Pritisak da se sistemi što pre vrate u rad može dovesti do nove greške – vraćanja kompromitovanih podataka, aplikacija ili konfiguracija u produkciono okruženje.

Bezbedan oporavak zato podrazumeva više od tehničkog vraćanja podataka. Potrebno je utvrditi poslednju poznatu bezbednu verziju, proveriti integritet kopija, ukloniti uzrok incidenta i obaviti restauraciju u izolovanom okruženju. Tek nakon dodatnih bezbednosnih provera sistemi mogu postepeno da se vrate u produkciju.

U suprotnom, organizacija rizikuje da zajedno sa podacima vrati i isti problem koji je incident izazvao.

Pet pitanja za upravu kompanije ili institucije

Rumunski slučaj može da posluži kao povod da rukovodstvo proveri sopstvenu spremnost:

• Kada smo poslednji put testirali potpuni oporavak ključnog sistema?
• Da li napadač koji kompromituje produkciono okruženje može da pristupi i backup kopijama?
• Koliko dugo možemo da poslujemo bez svakog od kritičnih sistema?
• Ko odlučuje kojim redosledom vraćamo poslovne usluge i ko potvrđuje da su bezbedne?
• Kako poslovanje funkcioniše dok traje tehnički oporavak?

Ako odgovori nisu jasno definisani, dokumentovani i provereni kroz realističnu vežbu, problem nije samo u sajber bezbednosti. Problem je u otpornosti poslovanja.

Cyber otpornost se dokazuje pre incidenta

Najotpornije organizacije nisu one koje veruju da se napad njima neće dogoditi. To su organizacije koje znaju šta rade kada se dogodi.

One imaju višeslojnu zaštitu, odvojene i proverene backup kopije, definisane prioritete, realno postavljene rokove oporavka i plan rada tokom prekida. I, što je najvažnije, te planove redovno testiraju.

Pravo pitanje više nije samo da li organizacija može da sačuva podatke.

Pravo pitanje je da li može da nastavi poslovanje kada njeni ključni sistemi stanu.