פתרונות / המצב
אם אתם בתוך אירוע, התקשרו עכשיו. קראו אחר כך.
מערכות מתנהגות בצורה מוזרה, הופיע מכתב כופר, עובד לחץ על משהו, או שלקוח אמר לכם שהנתונים שלכם נמצאים במקום שהם לא אמורים להיות בו. השעות הראשונות מכריעות עד כמה זה יהיה גרוע: מה נבלם, אילו ראיות שורדות, והאם ההודעה שאתם חייבים ללקוחות ולרגולטור נמסרת נכון ובזמן.
אתם בחלון שבו כל החלטה מצטברת. מחיקת המכונה הלא נכונה משמידה את הראיות שתזדקקו להן. תשלום בלי ניתוח לא ממן שום דבר שימושי. שתיקה מעבר לדדליין ההודעה הופכת אירוע לעניין רגולטורי מעל עניין טכני.
מה זה עולה לכם
- ראיות נעלמות תוך שעות אם צעד הבלימה הלא נכון ננקט ראשון.
- תיקון 13 ו-GDPR שניהם נושאים חובות הודעה על פריצה עם שעונים שהתחילו כשנודע לכם, לא כשסיימתם לחקור.
- לפוליסת ביטוח הסייבר שלכם יש תנאי הודעה ושיתוף פעולה; החמצתם יכולה לעלות לכם בתביעה.
- לקוחות מגלים ממישהו אחר ולא מכם, והנזק המסחרי מאריך ימים מהנזק הטכני.
מה אנחנו עושים
התקשרו לקו האירועים
אתם מגיעים למגיב, לא לתור כרטיסים. הנחיה ראשונה על בלימה ושימור ראיות מגיעה באותה שיחה, לפני שמישהו נוגע במקלדת.
בלמו בלי להשמיד ראיות
בודדו, שמרו, תעדו. אנחנו שומרים על הרשומה הפורנזית שלמה תוך עצירת ההתפשטות. שתי המטרות מתנגשות, והסדר חשוב.
קבעו מה באמת קרה
היקף, נקודת כניסה, זמן שהייה, אילו נתונים נגישו או נלקחו. חובות ההודעה ושיחות הלקוחות שתיהן תלויות בעובדות, וספקולציה בכל כיוון מסוכנת.
טפלו בהודעות ובגילוי
הודעה רגולטורית, תקשורת עם לקוחות, הודעה למבטח, על השעונים שחלים, עם ייעוץ רגולטורי לצד העבודה הטכנית.
התאוששו, וסגרו את הדלת אחריכם
שחזרו, אמתו, הסירו את נתיב הגישה, והפיקו את דוח האירוע: המסמך שהלקוחות שלכם, המבטח שלכם והדירקטוריון שלכם עומדים לבקש.
מה צריך לעשות בשעה הראשונה של פריצה חשודה?
אל תמחקו, תבנו מחדש או תעשו reimage לשום דבר: זה משמיד את הראיות שתזדקקו להן להודעה, לביטוח ולחקירה. בודדו מערכות מושפעות מהרשת אבל השאירו אותן מופעלות היכן שאפשר, שמרו לוגים לפני שחלונות השמירה פגים, הגבילו את הדיון לקבוצה קטנה, הודיעו למבטח הסייבר שלכם כפי שהפוליסה דורשת, והשיגו מגיב בטלפון. בלימה ושימור ראיות מתנגשים זה בזה, והסדר שבו אתם עושים אותם חשוב.
האם אנחנו חייבים לדווח על פריצת מידע בישראל?
כן, בנסיבות מוגדרות. חוק הגנת הפרטיות הישראלי, כפי שתוקן בתיקון 13, מטיל חובות הודעה על מחזיקי מאגרים בעקבות אירוע אבטחה חמור: לרשות להגנת הפרטיות, והיכן שנדרש, לפרטים המושפעים. אם מעורב מידע אישי של האיחוד האירופי, גם שעון ההודעה של 72 שעות של GDPR חל, והוא מתחיל כשנודע לכם על הפריצה, לא כשסיימתם לחקור אותה. קביעת ההיקף וקביעת החובות חייבות אפוא לרוץ במקביל.
האם כדאי לשלם דרישת כופר של ransomware?
לא כמהלך ראשון, ולא בלי ניתוח. תשלום אינו מבטיח פענוח, אינו מונע פרסום של נתונים גנובים, אינו מסיר את גישת התוקף, ועשוי לשאת סנקציות וחשיפה משפטית תלוי בקבוצה המעורבת. ההחלטה חייבת לבוא אחרי, ולעולם לא לפני, הערכה של אילו גיבויים ברי-קיימא, אילו נתונים באמת נלקחו, מה פוליסת הביטוח שלכם אומרת, ואילו חובות רגולטוריות כבר רצות.