Всяка година огромен брой организации стават жертва на ransomware, като значителен брой от тях се поддават на исканията за откуп. Това е проблем, с който се борят както служителите в областта на киберсигурността, така и цялата индустрия, като се надпреварват да установят защо предприятията продължават да плащат откупи и как да решат този проблем.

Всъщност знаем, че въпреки предупрежденията, най-добрите практики, рекламните кампании и официалните съвети, предприятията, заразени с рансъмуер, все още често плащат. Само в едно от многото проучвания Databarracks установи, че в отговор на атака с рансъмуер 44 % от запитаните организации признават, че са платили. Само 34 % са се възстановили от резервни копия, а други 22 % са използвали инструменти за декриптиране.

И все пак плащането е скъпо. Първоначалното плащане не само неочаквано намалява паричните потоци, но има и потенциални допълнителни финансови последици. Те включват загубата на клиенти, които могат да почувстват, че данните им не са защитени, прекъсването на работата, което се отразява на собствените им резултати, както и по-големи щети върху репутацията.

Върху този пъзел влияят множество фактори, включително ролята на човешката психология, фундаментално неразбиране на това, какво всъщност се постига с плащането на откупа, и потенциално лошо фокусиране от страна на управителния съвет на организацията.

Психологията на ransomware

Както при много други неща в живота, психологическите фактори играят огромна роля. Мотивацията е от решаващо значение, а за предприятията тя трябва да бъде както лична, така и организационна. „Ако управителният съвет или ръководният екип решат да бъдат твърди и агресивни, те ще предприемат необходимите стъпки, за да защитят кибернетичната си сфера“, казва пред IT Pro Ручи Гоял, преподавател по международен бизнес и стратегия в Henley Business School.

Това със сигурност е вярно, но психологията на причините, поради които действаме по начина, по който действаме индивидуално и колективно като управителен съвет, включително по отношение на киберсигурността, се нуждае от малко разясняване.

Лиан Потър е награждаван киберантрополог и ръководител на отдел „Операции по сигурността“ в голяма компания за търговия на дребно. Тя разказва пред IT Pro: „Хората са уникални поради способността си да си представят сценарии и бъдеще, което все още не се е случило. Въпреки това невероятно умение ние сме силно движени от нуждата си да търсим незабавни ползи.“

Това, казва тя, означава, че „въпреки че много добре осъзнаваме, че сме изложени на риск да станем жертва на ransomware, ако не предприемем необходимите стъпки за предотвратяването му, сме привлечени от пътя на най-малкото съпротивление“. Това е свързано с идеята, че може да имаме достатъчно късмет, за да избегнем удар от ransomware.

В този случай е необходимо да ни се разяснят необходимите стъпки и да се очертае пътят напред. Това е отговорност на ниво управителен съвет.

Възстановяват ли се данните при плащане?

Важно е да се разбере, че киберпрестъпленията са насочени към печалба. Операторите на рансъмуер се нуждаят от това организациите – жертви да платят – и ще отидат там, където могат да получат печалба най-лесно. Това означава, че плащането може да не е краят на нещата.

Както казва Мартин Лий, учен, превърнал се в изследовател на заплахите и технически ръководител на групата Talos на Cisco: „Плащането не е гаранция за успешно декриптиране на файловете, но е гаранция, че като печеливша марка ще привлечете нови атаки.“

Кевин Кюран, старши член на IEEE и професор по киберсигурност в университета в Ълстър, доразвива темата. „Хакерите са хитри“, обяснява той. „Дори и да бъде платен откуп, те неизбежно запазват данните. След като настъпи пробив в данните, трябва да се предположи, че всички данни са изтекли или са продадени на трети страни.“

Налице е и възходът на тенденции като двойно – и дори тройно изнудване с цел откуп. Нещата могат да се объркат, когато хакерите заплашват да освободят чувствителни данни или да стигнат още по-далеч, ако не бъдат направени допълнителни плащания. Разходите могат да започнат да се натрупват много бързо.

Защо екипът за управление трябва да се активизира

Ако плащането не означава непременно, че данните ще бъдат възстановени, има друг подход, който може да се използва за осигуряване на силен подход към киберсигурността.

„Сигурността трябва да се разглежда като част от предлаганата от вас стойност и качество“, казва Потър. „Не бихте доставили бъгав код, защото клиентите ви ще се оплачат и може би ще напуснат. Сигурността трябва да продава своята цел по същия начин, по начин, който бизнесът може да преглътне.“

Това помага да се докаже, че на практика ключът е да се постави сигурността на преден план и в центъра на всичко, което бизнесът прави. Това означава, че управителният съвет и особено главният изпълнителен директор, финансовият директор и главният информационен директор трябва да държат сигурността на първо място във всяко свое решение. Това не е нещо, което трябва да се намали, колкото и да е изкушаващо. Както казва Лий: „Сигурността не е добавка, която трябва да се „засилва“ или „намалява“ по прищявка, тя е неразделна част от правенето на бизнес.“

„Всеки специалист по сигурността, с когото съм разговарял, иска да прави повече“, казва Дейвид Махди, главен директор по стратегията и съветник на CISO в Sectigo и бивш вицепрезидент анализатор в Gartner.

От ръководството обаче зависи да им предостави необходимите инструменти и да създаде съгласие в цялата организация. И така, какво означава това за финансовия директор, главния информационен директор и изпълнителния директор?

Ключовият съвет на Гоял – подходящ за главния информационен директор – е „да накарате управителния съвет да включи киберсигурността като постоянна точка в дневния ред“. Тя допълва, че ръководството трябва редовно да преразглежда механизмите, практиките и стратегиите за киберсигурност, тъй като това е най-добрият метод за компаниите, които искат да се справят с атаките на ransomware и други опити за пробив.

Лий добавя, че финансовият директор трябва да „изчисли колко би струвала на бизнеса успешна атака с ransomware срещу ключова система“, преди да разгледа възвръщаемостта на инвестициите в различни стратегии за смекчаване на последиците спрямо тези разходи.

Махди заключава, че главният изпълнителен директор трябва да се съсредоточи върху „технологиите, хората и процесите“ и никога не трябва да подценява инвестирането в хора в допълнение към технологиите.