Klikli ste na podozrivý odkaz. Z vášho účtu odchádzajú správy, ktoré ste neposlali. Alebo sa k pracovným súborom zrazu nedá dostať. Prvá myšlienka? „Možno to nič nie je.“ Prvý správny krok? Oznámiť, čo sa stalo.
Pri kybernetickom incidente nemusíte hneď poznať príčinu, rozsah ani meno útočníka. Dôležité je, aby sa informácia včas dostala k ľuďom, ktorí dokážu situáciu posúdiť a zabezpečiť ďalší postup.
Čakanie na úplnú istotu môže znamenať stratu času. Aj zdanlivá drobnosť môže byť súčasťou väčšieho problému.
Zamestnanec: oznámte podozrenie
Ak si všimnete niečo nezvyčajné, obráťte sa bezodkladne na internú IT podporu, bezpečnostný tím alebo určenú zodpovednú osobu podľa pravidiel vašej organizácie.
Dôvodom na oznámenie môže byť napríklad:
- zadanie pracovného hesla na podozrivej stránke,
- otvorenie prílohy, po ktorom sa počítač začal správať nezvyčajne,
- neznáme prihlásenie alebo nevyžiadané výzvy na potvrdenie prístupu,
- odosielanie správ z vášho účtu bez vášho vedomia,
- podozrenie na únik údajov či neoprávnenú zmenu dokumentov.
Nemusíte určiť typ útoku. Stačí presne opísať, čo ste videli a urobili.
Podozrivú prílohu znovu neotvárajte a odkaz neposielajte kolegom „na vyskúšanie“. Nemažte správy ani ďalšie podklady, ktoré môžu pomôcť pri preverovaní. Ďalšie zásahy do zariadenia konzultujte s IT alebo bezpečnostným tímom.
Organizácia: pripravte použiteľné hlásenie
Dobré hlásenie nemusí byť dlhé. Má však umožniť pochopiť situáciu a nadviazať kontakt.
Uveďte najmä:
- Čo sa stalo: pozorované prejavy a doteraz známe následky.
- Kedy: čas zistenia a predpokladaný začiatok, ak je známy; pri technických záznamoch aj časové pásmo.
- Čo je zasiahnuté: zariadenia, účty, systémy alebo služby a ich význam pre fungovanie organizácie.
- Čo ste už urobili: prijaté opatrenia a informáciu, či problém pokračuje.
- Koho kontaktovať: názov organizácie, meno zodpovednej osoby, telefón a funkčný e-mail.
Technický tím môže doplniť IP adresy, názvy zariadení, verzie softvéru, systémové záznamy či hlavičky podozrivých e-mailov. Ak niečo zatiaľ neviete, označte to ako nezistené. Odhad odlíšte od potvrdenej skutočnosti.
Kam incident nahlásiť?
CSIRT.SK — pomoc pre informačné technológie verejnej správy
Vládna jednotka CSIRT.SK pomáha organizáciám štátnej a verejnej správy pri riešení kybernetických bezpečnostných incidentov v oblasti informačných technológií verejnej správy.
Incident možno oznámiť na incident@csirt.sk. Pri urgentnej situácii využite aj telefón +421 948 039 525. Aktuálne kontakty pre súrne prípady mimo pracovných hodín nájdete na kontaktnej stránke CSIRT.SK.
NBÚ / SK-CERT — zákonné hlásenie závažného incidentu
Ak je organizácia prevádzkovateľom základnej služby, pri závažnom kybernetickom bezpečnostnom incidente plní zákonnú ohlasovaciu povinnosť prostredníctvom Jednotného informačného systému kybernetickej bezpečnosti (JISKB).
Kontaktovanie CSIRT.SK túto povinnosť nenahrádza. Na stránke Nahlásiť incident — SK-CERT sú uvedené jednotlivé možnosti podania vrátane hlásení od verejnosti. Povinné subjekty musia dodržať príslušné zákonné lehoty a postupy.
Aj pri hlásení chráňte informácie
Hlásenie môže obsahovať citlivé údaje o organizácii, jej systémoch aj používateľoch. Podklady preto neposielajte cez náhodné verejné úložiská alebo online analytické služby.
CSIRT.SK umožňuje využiť PGP šifrovanie. Pri odovzdávaní podozrivých súborov postupujte podľa pokynov prijímajúceho tímu.
Hlásením sa spolupráca začína
Určte osobu, ktorá bude dostupná na doplnenie informácií. Priebežne zaznamenávajte nové zistenia aj vykonané kroky a koordinujte obnovu s ľuďmi zodpovednými za riešenie incidentu.
Po zvládnutí situácie sa vráťte aj k otázke, čo organizácii pomohlo a čo ju zdržalo. Boli kontakty dostupné? Vedeli zamestnanci, komu zavolať? Fungoval postup aj mimo pracovného času?
Kontakt na pomoc je dobré mať uložený skôr, než ho budete potrebovať.
