Дори при добра предварителна защита е възможно устройство или профил да бъде компрометиран. Бързата реакция може да ограничи щетите, но действията трябва да бъдат съобразени с това дали става дума за личен или служебен киберинцидент.
При инцидент с личен профил или устройство
1. Ограничете риска. Прекратете взаимодействието със съмнителния сайт, файл или съобщение. При признаци на заразяване със зловреден софтуер или атака с рансъмуер изключете устройството от мрежата. Не свързвайте към него резервни носители.
2. Защитете профилите си. От друго, надеждно устройство сменете паролата на засегнатия профил. Започнете с електронната поща, ако има риск тя да е компрометирана. Прекратете активните сесии, проверете данните за възстановяване на достъпа и активирайте многофакторна автентикация. Сменете и всички други пароли, които са били използвани повторно.
3. Проверете финансовите си сметки. Ако сте предоставили банкови данни, потвърдили сте подозрително плащане или забележите непозната транзакция, незабавно се свържете с банката чрез официален канал. Поискайте указания за блокиране на карта или ограничаване на операции, когато е необходимо.
4. Запазете доказателствата. Съхранете екранни снимки, подозрителни интернет адреси, известия за вход и приблизителния час на събитието. Не отваряйте повторно съмнителни файлове и не изтривайте прибързано информация, която може да помогне за изясняване на случилото се.
5. Възстановете устройството безопасно. Актуализирайте софтуера и извършете подходяща проверка. При сериозно заразяване може да е необходимо професионално почистване или преинсталиране. Възстановявайте данни само от надеждно резервно копие, за което има основания да се смята, че не е засегнато.
6. Подайте сигнал при необходимост. При измама, изнудване, кражба на самоличност или значителни финансови щети уведомете съответната услуга и компетентните органи. Не приемайте, че плащането на откуп гарантира възстановяване на файловете или изтриване на откраднатите данни.
При инцидент със служебно устройство или информация
1. Уведомете незабавно отговорния екип. При съмнение за компрометиране на служебен компютър, служебна електронна поща или друг служебен профил се свържете с ИТ отдела, екипа по информационна сигурност или определения вътрешен контакт. Следвайте установената процедура за реакция при киберинциденти.
2. Не предприемайте самостоятелно разследване. Не изтривайте файлове, не преинсталирайте системата, не изчиствайте регистрационните записи и не променяйте настройки без указания. Такива действия могат да унищожат доказателства или да затруднят установяването на мащаба на инцидента.
3. Изолирайте устройството според указанията. При съмнение за активна атака може да се наложи прекъсване на мрежовата връзка. Действайте съобразно вътрешните инструкции или указанията на отговорния екип, особено когато става дума за сървъри, специализирани системи или устройства, от които зависят важни процеси.
4. Защитете данните за достъп. Не сменяйте служебни пароли от устройство, което може да е заразено. Не одобрявайте непознати заявки за многофакторна автентикация и не споделяйте кодове за достъп. При съмнение за откраднати данни за достъп отговорният екип трябва да прецени дали са необходими прекратяване на сесиите и временно ограничаване на достъпа.
5. Запазете доказателствата и хронологията. Запишете кога е забелязан проблемът, какво действие го е предшествало и какви съобщения или предупреждения са се появили. Предоставете тази информация на отговорния екип. Не изпращайте подозрителни файлове през неразрешени канали и не публикувайте подробности за инцидента в социалните мрежи.
6. Възстановете системите координирано. Анализът на регистрационните записи, проверката за компрометирани профили, премахването на зловредния софтуер и възстановяването от резервни копия трябва да се извършват координирано. Организацията следва да оцени дали са засегнати лични данни, клиенти, партньори или други системи и дали възникват задължения за уведомяване.
Едно правило за две различни ситуации
При личен киберинцидент водещата цел е да защитите собствените си профили, финанси и данни. При служебен киберинцидент е необходимо да ограничите риска, без да нарушавате координираната реакция и събирането на доказателства.
И в двата случая не пренебрегвайте първите признаци на проблем. Бързото уведомяване, правилното ограничаване на достъпа и възстановяването от надеждно състояние могат да намалят щетите и риска от повторна атака.
