Kun tietomurroista on tullut osa jokapäiväistä liiketoimintaa, miten keskustelu on kehittynyt ja mitä viimeaikaiset tapaukset paljastavat hyvästä – ja huonosta – tietomurtoihin reagoinnista?

Vielä viisi vuotta sitten tietomurron kokenut yritys joutui tiukan tarkastelun kohteeksi, ja hyökkäyksen tapoja ja syitä tarkasteltiin kuukausien ajan – varsinkin jos arkaluonteisia tietoja oli paljastunut.

Vaikka tämän tasoista valvontaa edelleen tapahtuu, on nyt laajalti hyväksyttyä, että kyberhyökkäyksiä tapahtuu, erityisesti korkean profiilin yrityksiin kohdistuen. Tämä kävi aivan liian selväksi äskettäin, kun Coca-Colan , Ernst & Youngin , Cranewaren ja Abbottin kaltaiset yritykset myönsivät kyberhyökkäykset muutaman kuukauden sisällä toisistaan.

Itse tietomurron lisäksi nämä useilla toimialoilla lyhyellä aikavälillä tapahtuneet paljastukset osoittavat suurempaa trendiä. Kybertapahtumien estämisen vaikeutuessa asiakkaat, sääntelyviranomaiset ja kumppanit kiinnittävät entistä enemmän huomiota siihen, miten organisaatiot reagoivat, toipuvat ja kommunikoivat, kun jokin menee pieleen.

Miten keskustelu on kehittynyt ja mitä viimeaikaiset tietomurrot paljastavat hyvästä – ja huonosta – reagoinnista tietomurtoihin?

Muuttuvat odotukset

Kyberhyökkäyksiä koskevat odotukset ovat muuttuneet. Kymmenen vuotta sitten organisaatioita arvioitiin pitkälti sen perusteella, olivatko ne kärsineet tietomurrosta. Nykyään sidosryhmät ymmärtävät, että ”mikään organisaatio ei ole immuuni”, sanoo Doug Jewitt, tietoturvakonsultti Infinity Groupilla.

Hän kuvailee, kuinka painopiste on siirtynyt siihen, kuinka nopeasti organisaatio tunnistaa tapauksen, kuinka läpinäkyvästi se reagoi siihen ja kuinka tehokkaasti se toipuu. ”On olemassa selkeä odotus, että kaikenkokoisilla organisaatioilla on käytössä riittävän mitoitetut tekniset suojakeinot.”

Coca-Colaa, Ernst & Youngia, Cranewarea ja Abbottia koskevat viimeaikaiset paljastukset osoittavat, että ”oikea-aikainen ja perusteellinen viestintä” voi hillitä sidosryhmien reaktioita, sanoo Tracey Hannan-Jones, tietoturvakonsultoinnin johtaja UBDS Groupissa. ”Hiljaisuus, viivästykset tai epämääräiset lausunnot herättävät spekulaatioita ja aiheuttavat usein mainehaittaa, joka on suhteetonta tekniseen ongelmaan nähden. Organisaatio, joka ei pysty selittämään, mitä tapahtui, mitä se tekee ja mikä jää tuntemattomaksi, viestii siitä, ettei se ollut valmistautunut.”

Hyvän ja huonon reagoinnin välinen ero riippuu ”näkyvyydestä ja kontekstista”, sanoo Jeremy Leasher, Binalyzen tietoturva-arkkitehti. Hän uskoo, että äskettäinen hyökkäys terveydenhuolto-organisaatio Strykeriin on selkeä esimerkki siitä, missä asiat voivat mennä pieleen.

”Alkuperäisessä lausunnossa vihjattiin, ettei kyseessä ollut kiristyshaittaohjelma tai haittaohjelma ja että tapaus saatiin hallintaan”, Leasher kertoo IO:lle.

Teknisesti tämä piti paikkansa, mutta kun kävi ilmi, että hyökkäys tuli luotettavan hallintatyökalun eikä haittaohjelman kautta, sillä ei ollut Leasherin mukaan merkitystä. ”Strategisesti näytti siltä, ​​ettei Stryker ymmärtänyt uhkaa.”

Sääntelyviranomaisten roolit

Samaan aikaan sääntelyviranomaisilla on nyt keskeinen rooli tapauskohtaisten toimien muokkaamisessa, mukaan lukien raportointiin ja julkistamiseen liittyvät odotukset.

Ison-Britannian yleinen tietosuoja-asetuksen ( GDPR ) päivitys edellyttää henkilötietojen tietoturvaloukkausten ilmoittamista 72 tunnin kuluessa, kun taas finanssivalvontaviranomainen ( Financial Conduct Authority) , EU:n verkko- ja tietojärjestelmädirektiivi 2 ja Yhdysvaltain arvopaperi- ja pörssikomissio (SEC) asettavat lisäilmoitusvelvollisuuksia. ”Sääntelyviranomaiset arvioivat yhä useammin paitsi sitä, onko ilmoitus tehty, myös sen nopeutta, laatua, tarkkuutta ja jatkotoimia”, sanoo UBDS Groupin Hannan-Jones.

Yksi suurimmista käytännön seurauksista on ajoitus, sanoo David Dumont, Huntonin osakas. Hän huomauttaa, että monilla raportointivelvoitteilla on hyvin lyhyet määräajat. ”Siksi organisaatioiden on ehkä käytettävä huomattavasti aikaa ja resursseja ilmoitusvaatimusten arviointiin ja sääntelyviranomaisten lomakkeiden laatimiseen lähes välittömästi sen jälkeen, kun ne ovat tulleet tietoisiksi tapahtumasta, usein jo ennen kuin tosiasiat ovat vielä kehittymässä.”

Samaan aikaan sääntelyviranomaisella itsellään on yhä tärkeämpi rooli, sanoo Freethsin data-asiantuntija Paul Wiggins. Hän huomauttaa, että tietojen käyttöä ja saatavuutta koskevan lain nojalla Yhdistyneen kuningaskunnan tiedotusvaltuutetun toimistolla (ICO) on vahvemmat täytäntöönpanovaltuudet. ”ICO:n odotetaan toimivan sääntelyportinvartijana, ja toivotaan, että tämä tarjoaa ratkaisuja vähäisiin vaatimuksiin”, hän kertoo IO:lle.

Nopeus, läpinäkyvyys ja tarkkuus

Vaikka hyökkäykset edelleen kohdistuvat yrityksiin, monet asiantuntijat uskovat, että yritykset ovat kehittymässä kyberhyökkäysten käsittelyssä paremmiksi. Dray Agha, Huntressin EMEA-alueen tietoturvaoperaatiokeskuksen vanhempi johtaja, sanoo, että tilanne paranee suurelta osin siksi, että tietomurtojen historiallinen stigma on hälvenemässä. ”Yritykset tunnustavat, että tietomurrot ovat 'kun'-, ei 'jos'-todellisuutta, minkä ansiosta ne voivat siirtää energiansa pois ongelman piilottamisesta ja minimoida käyttökatkokset.”

On nyt tärkeää, että organisaatiot löytävät tasapainon nopeuden, läpinäkyvyyden ja tarkkuuden välillä häiriön aikana.

Hyvä reagointi tietomurtoon vaatii useita keskeisiä vaiheita. Freethsin Wigginsin mukaan on olennaista, että käytössä on oikeat käytännöt ja tiimi, joka "ryhtyy toimimaan, kun aika koittaa".

Hän korostaa ulkopuolisten neuvonantajien – kuten lakimiesten, PR-agenttien ja kybervakuutusyhtiöiden – muodostaman tiimin merkitystä, jonka hän uskoo olevan ”olennaisen tärkeää” strategian ja reagoinnin muokkaamisessa häiriötilanteeseen. ”Lisäksi tarvitaan halukkuutta rauhoittaa ja tukea asianomaisia ​​rekisteröityjä sekä olla yhteydessä toimitusketjun kumppaneihin, jotka tuntevat häiriön kerrannaisvaikutukset.”

Binalyzen Leasherin mukaan organisaatiot, jotka reagoivat parhaiten tietomurtoon, ovat tehneet suunnittelun etukäteen.

Pohjimmiltaan hän uskoo, että heidän pitäisi pystyä vastaamaan nopeasti kolmeen peruskysymykseen: "Onko hyökkääjällä vielä pääsy sisään? Miten he pääsivät sisään? Mitä he veivät?"

Viestintä ja läpinäkyvyys ovat olennaisia, ja ne voivat olla ”ratkaiseva tekijä siinä, tuleeko kybertapahtumasta liiketoimintahaaste vai mainekriisi”, huomauttaa Infinity Groupin Jewitt. ”Asiakkaat, kumppanit ja sääntelyviranomaiset ymmärtävät, että tutkinnat vievät aikaa, mutta he odottavat rehellisyyttä, oikea-aikaisia ​​päivityksiä ja selkeitä selityksiä siitä, mitä tiedetään, mitä vielä tutkitaan ja mihin toimiin ryhdytään.”

Jewitt sanoo, että avainasemassa on ”kommunikoida siitä, mitä tietää, tunnustaa, mitä ei tiedä, ja sitoutua säännöllisiin päivityksiin”. ”Täydellisen tiedon odottaminen voi viivästyttää kriittisiä päätöksiä, mutta johtopäätösten kiirehtiminen voi vahingoittaa luottamusta.”

Vahva hallinto

Vahva hallintotapa on tehokkaan kriisinhallintatoiminnan perusta. Tämä tarkoittaa selkeän omistajuuden, vakiintuneiden prosessien ja tietoon perustuvan päätöksenteon varmistamista ennen kriisin syntymistä.

Vahva hallinto varmistaa, että päätöksiä voidaan tehdä nopeasti ja luottavaisesti kriisin aikana, Jewitt sanoo. ”Selkeä omistajuus, vakiintuneet eskalointikeinot ja hyvin ymmärretyt vastuut poistavat epävarmuutta silloin, kun aika on tärkeintä. Organisaatiot, jotka investoivat hallintoon ennen tapahtumaa, ovat yleensä paremmin valmistautuneita hallitsemaan sääntelyvaatimuksia, sidosryhmäviestintää ja toipumistoimia, kun sellainen tapahtuu.”

UBDS Digitalin Hannan-Jonesin mukaan tehokasta reagointia tapahtumiin ei voida improvisoida. ”Havaitseminen on tärkeää, mutta nopea eristäminen riippuu selkeistä valtuuksista ja harjoitetusta koordinoinnista. Teknisten, laki-, viestintä- ja johtotiimien on työskenneltävä yhdessä alusta alkaen. Tietoihin, immateriaalioikeuksiin tai toimintaan vaikuttavat kybertapahtumat ovat liiketoimintatapahtumia, eivät pelkästään IT-ongelmia. Näkyvä hallitustason omistajuus on olennaista.”

Hannan-Jonesin mukaan ISO 27001 voi vahvistaa valmiutta, kun sitä käsitellään toimintakehyksenä, mutta pelkkä sertifiointi ei riitä. ”Testaamattomat suunnitelmat, huonosti ymmärretyt vastuut ja pelkästään IT-pohjaiset harjoitukset luovat väärää luottamusta.”

Hän sanoo, että tehokas resilienssi perustuu neljään harjoiteltuun kykyyn: ”Havaitse, eristä, reagoi ja toivu.”

Laajenna tietosi

Blogi: Miksi kyberturvallisuus on vielä kaukana monilta brittiläisiltä yrityksiltä

Podcast: Kokoushuoneesta taukohuoneeseen - Vaatimustenmukaisuuden kulttuurin rakentaminen

Blogi: Miten tietoturvatiimit voivat valmistautua myyttien jälkeiseen tulevaisuuteen?