Predstavljajte si, da nekega jutra pridete v službo, prižgete računalnik in ugotovite, da ne morete dostopati do svojih datotek. Program za računovodstvo ne deluje, naročila so nedostopna, skupne mape so zaklenjene, zaposleni pa ne morejo opravljati svojega dela.
Na zaslonu se pojavi sporočilo, ki vam hitro pojasni, kaj se je zgodilo. Vaši podatki so šifrirani. Če jih želite dobiti nazaj, morate plačati odkupnino.
Sprva morda pomislite, da gre za težavo z računalnikom ali strežnikom. Toda kmalu postane jasno, da ne gre za običajno tehnično okvaro. Vaše podjetje je postalo tarča kibernetskega napada.
V takšnem trenutku se začne tekma s časom. Kako obnoviti poslovanje? Ali so podatki res izgubljeni? So napadalci poleg zaklepanja datotek ukradli tudi zaupne informacije? Koliko bo stala odprava posledic? In ali ima podjetje ustrezno zaščito za primer, ko digitalni napad povzroči resno poslovno škodo?
To niso več vprašanja, ki bi zadevala samo velika podjetja. Kibernetski napad lahko prizadene tudi manjše proizvodno podjetje, računovodski servis, trgovino, spletno trgovino ali družinsko podjetje, ki je večino poslovanja preneslo na računalnike in spletne storitve.
Kaj je izsiljevalski napad in zakaj je lahko tako nevaren?
Izsiljevalski program oziroma ransomware je vrsta zlonamerne programske opreme, s katero napadalci zaklenejo ali šifrirajo podatke, v nekaterih primerih pa jih tudi ukradejo. Nato zahtevajo plačilo za domnevno obnovitev dostopa ali za to, da ukradenih informacij ne bi objavili.
Napad se lahko začne na različne načine. Napadalec lahko izkoristi varnostno pomanjkljivost v informacijskem sistemu, ukradene prijavne podatke, slabo zaščiten oddaljeni dostop ali zaposlenega, ki odpre zlonamerno priponko oziroma obišče nevarno spletno povezavo.
Ko napadalec pridobi dostop do sistema, se lahko poskuša premikati po omrežju, pridobiti dodatna dovoljenja, poiskati pomembne podatke in onemogočiti varnostne kopije.
Zato posledice niso nujno omejene na en računalnik. Če je sistem podjetja medsebojno povezan, se lahko težava razširi na strežnike, skupne mape, poslovne aplikacije in druge ključne dele infrastrukture.
Za podjetje to pomeni, da lahko v kratkem času izgubi dostop do podatkov, ki jih potrebuje za vsakodnevno poslovanje.
Toda zaklenjene datoteke so lahko šele začetek težav.
Ko podatki izginejo, se lahko ustavi celotno podjetje
Večina podjetij danes uporablja digitalne sisteme za vsaj del svojega poslovanja. Na računalnikih in strežnikih se lahko nahajajo ponudbe, pogodbe, evidence strank, računovodski podatki, naročila, tehnična dokumentacija in podatki, potrebni za proizvodnjo.
Če do teh informacij nenadoma ni več mogoče dostopati, lahko zastane več poslovnih procesov hkrati.
Predstavljajte si proizvodno podjetje, ki uporablja računalniški sistem za načrtovanje proizvodnje, pripravo delovnih nalogov in spremljanje zalog. Po kibernetskem napadu zaposleni ne morejo dostopati do potrebnih podatkov. Stroji morda še vedno delujejo, vendar podjetje ne more normalno načrtovati proizvodnje, spremljati naročil ali organizirati dobav.
Podobno se lahko zgodi spletni trgovini, ki izgubi dostop do sistema za obdelavo naročil, ali računovodskemu servisu, ki začasno ne more dostopati do dokumentacije svojih strank.
V takšnih okoliščinah lahko nastanejo številne posledice:
- zastoj ali omejitev poslovanja;
- zamude pri dobavi izdelkov in izvedbi storitev;
- dodatni stroški za strokovnjake za informacijsko varnost;
- stroški obnove podatkov in informacijskih sistemov;
- izguba prihodkov zaradi zmanjšanega obsega poslovanja;
- težave pri izpolnjevanju pogodbenih obveznosti;
- izguba zaupanja strank in poslovnih partnerjev.
Vse te posledice ne nastanejo pri vsakem napadu, njihov obseg pa je odvisen od okoliščin. Vendar lahko tudi krajši izpad za podjetje pomeni veliko težavo, če je odvisno od neprekinjenega dostopa do svojih podatkov.
Kibernetski napad zato ni samo težava z računalniki. Lahko postane resen poslovni in finančni problem.
Najhujši scenarij: napadalci zahtevajo odkupnino
Ko napadalci zaklenejo podatke, podjetje pogosto postavijo pred težko odločitev. Zahtevajo plačilo v zameno za ključ za dešifriranje ali obljubo, da bodo podatke vrnili oziroma jih ne bodo objavili.
Zahtevani znesek je lahko za podjetje velik finančni zalogaj. Toda tudi plačilo ne zagotavlja, da bodo podatki uspešno obnovljeni, da bodo vsi sistemi spet delovali ali da napadalci ne bodo objavili ukradenih informacij.
Če so bili podatki pred šifriranjem kopirani, se lahko podjetje sooča še z dodatnim tveganjem: zaupne informacije lahko ostanejo v rokah napadalcev tudi po tem, ko je dostop do sistema obnovljen.
Odločitev o plačilu odkupnine je zato izjemno zahtevna in je ne bi smeli sprejemati nepremišljeno. Zahteva strokovno presojo, upoštevanje pravnih obveznosti, varnostnih tveganj in dejanskih možnosti za obnovitev podatkov. Pred kakršnim koli plačilom je treba preveriti tudi morebitne pravne omejitve in sankcijska tveganja.
Pomembno je, da podjetje ne čaka na napad, preden začne razmišljati o takšnem scenariju.
Vnaprej pripravljen načrt odziva lahko pomaga skrajšati čas izpada, zmanjšati škodo in preprečiti nepremišljene odločitve v trenutku, ko je podjetje pod največjim pritiskom.
Ali lahko podjetje obnovi podatke brez plačila?
Včasih je to mogoče, vendar je veliko odvisno od priprave podjetja pred napadom.
Pomembno vlogo imajo varnostne kopije, ki niso neposredno izpostavljene istemu informacijskemu okolju kot primarni podatki. Če napadalci pridobijo dostop tudi do varnostnih kopij, je lahko njihova uporaba otežena ali celo onemogočena.
Zato ni dovolj, da podjetje samo pravi, da ima varnostne kopije. Preveriti je treba, ali se kopiranje izvaja redno, ali so kopije ustrezno zaščitene in ali je mogoče podatke dejansko obnoviti.
Prav tako je smiselno občasno preizkusiti obnovitev podatkov. Varnostna kopija, ki je nihče ni preveril, morda ne bo delovala tako, kot podjetje pričakuje.
Med pomembnimi preventivnimi ukrepi so tudi:
- večfaktorska avtentikacija za pomembne uporabniške račune;
- redno posodabljanje operacijskih sistemov in programske opreme;
- ustrezno omejevanje dostopnih pravic zaposlenih;
- zaščita oddaljenih povezav in administrativnih računov;
- izobraževanje zaposlenih o prepoznavanju sumljivih sporočil;
- pripravljen načrt odziva na kibernetski incident.
Noben posamezen ukrep ne zagotavlja popolne zaščite. Vendar lahko kombinacija tehničnih in organizacijskih ukrepov pomembno zmanjša tveganje ter olajša okrevanje po napadu.
Kdo plača stroške po kibernetskem napadu?
Ko podjetje odkrije, da je bilo napadeno, se začnejo pojavljati stroški, ki jih pred tem morda sploh ni načrtovalo.
Najprej je treba ugotoviti, kaj se je zgodilo, kako daleč se je napad razširil in katere sisteme je treba izolirati. Nato je treba odpraviti vzrok vdora, preveriti varnost infrastrukture, obnoviti podatke in zagotoviti, da se napadalci ne morejo preprosto vrniti v sistem.
Pri tem lahko sodelujejo strokovnjaki za kibernetsko varnost, forenziko, obnovo sistemov, pravno svetovanje in obveščanje prizadetih oseb.
Stroški so lahko povezani z:
- preiskavo in omejevanjem posledic incidenta;
- obnovo podatkov, strežnikov in poslovnih aplikacij;
- nujnim najemom zunanjih strokovnjakov;
- pravnim svetovanjem in obravnavo obveznosti glede varstva podatkov;
- obveščanjem prizadetih oseb, kadar je to potrebno;
- dodatnimi ukrepi za izboljšanje varnosti po incidentu.
Ob tem je treba upoštevati tudi finančne posledice izpada poslovanja. Če podjetje nekaj dni ali tednov ne more normalno delovati, lahko izgublja prihodke, medtem ko določeni stroški še naprej nastajajo.
Za manjše podjetje je lahko že kombinacija stroškov obnove in začasne izgube prihodkov zelo obremenjujoča.
Prav zato je pomembno razumeti razliko med tehnično zaščito pred napadi, načrtom okrevanja in zavarovanjem, ki lahko pod dogovorjenimi pogoji pomaga pri kritju določenih finančnih posledic kibernetskega incidenta.
Ali lahko škodo krije zavarovanje?
Podjetja imajo pogosto sklenjeno zavarovanje premoženja, odgovornosti ali druge vrste poslovnega zavarovanja. Toda iz tega ni mogoče samodejno sklepati, da so zaščitena tudi pred posledicami kibernetskega napada.
Običajno zavarovanje poslovnih prostorov ali opreme ni nujno namenjeno kritju vseh stroškov, povezanih z zaklenjenimi podatki, zlorabo informacijskih sistemov ali izpadom digitalnega poslovanja.
Za takšna tveganja je lahko primerno posebno kibernetsko zavarovanje, vendar se obseg zaščite med posameznimi ponudbami in policami razlikuje.
Odvisno od dogovorjenih kritij lahko kibernetsko zavarovanje pomaga pri določenih stroških odziva na incident, strokovne pomoči, obnove sistemov, obravnave zahtevkov tretjih oseb ali finančnih posledic prekinitve poslovanja zaradi kibernetskega dogodka.
Toda pomembno je poudariti, da takšna zaščita ni samodejna in ne vključuje nujno vseh naštetih stroškov.
Pri pregledu zavarovanja je treba preveriti predvsem:
Kaj se šteje za krit kibernetski incident?
Pomembno je vedeti, kateri dogodki so vključeni in kateri so izključeni. Pogoji lahko različno obravnavajo izsiljevalske napade, nepooblaščen dostop, izgubo podatkov ali motnje pri delovanju informacijskih sistemov.
Ali so kriti stroški strokovne pomoči?
Preveriti je treba, ali zavarovanje vključuje pomoč pri odzivu na incident, preiskavi, obnovi podatkov ali drugih nujnih dejavnostih ter pod kakšnimi pogoji.
Ali je vključena prekinitev poslovanja?
To je posebej pomembno za podjetja, ki so močno odvisna od računalniških sistemov. Treba je preveriti, ali polica krije določene finančne posledice kibernetskega izpada, kako se izračunava izguba in katere omejitve veljajo.
Kakšni so limiti in izključitve?
Tudi kadar je določeno tveganje vključeno, lahko veljajo posebne omejitve, odbitne franšize, čakalne dobe ali zahteve glede varnostnih ukrepov. Pomembno je tudi, ali je potrebno predhodno soglasje zavarovalnice za uporabo določenih strokovnjakov ali nastanek določenih stroškov.
Prav te podrobnosti določajo, kako uporabno bo zavarovanje v resnični situaciji.
Kaj pa, če napadalci ukradejo podatke strank?
Zaklepanje podatkov ni edino tveganje. Napadalci lahko informacije tudi kopirajo in zagrozijo, da jih bodo objavili ali uporabili za nadaljnje zlorabe.
Za podjetje je to lahko še posebej občutljivo, če obdeluje osebne podatke strank, zaposlenih ali poslovnih partnerjev, poslovne skrivnosti ali druge zaupne informacije.
V takšnem primeru lahko poleg tehnične obnove nastanejo tudi obveznosti, povezane z varstvom podatkov, pogodbenimi razmerji in obveščanjem prizadetih oseb.
Če gre za kršitev varnosti osebnih podatkov, je treba presoditi obveznosti po veljavnih predpisih. Po Splošni uredbi o varstvu podatkov (GDPR) je treba v določenih okoliščinah o kršitvi obvestiti pristojni nadzorni organ, praviloma najpozneje v 72 urah po seznanitvi z njo, razen če je malo verjetno, da bi kršitev povzročila tveganje za pravice in svoboščine posameznikov. V primerih velikega tveganja lahko nastane tudi obveznost obveščanja prizadetih posameznikov.
Obseg teh obveznosti je odvisen od dejanskih okoliščin incidenta, zato je pomembno, da podjetje pravočasno pridobi ustrezno strokovno pomoč.
Tudi tukaj lahko zavarovanje pod določenimi pogoji pomaga pri nekaterih stroških odziva ali zahtevkih. Vendar ni mogoče predpostaviti, da bo vsaka globa, kazen, odškodninski zahtevek ali strošek samodejno krit.
Kaj storiti, če se napad zgodi danes?
Ko podjetje ugotovi, da so podatki zaklenjeni ali da je prišlo do nepooblaščenega dostopa, je najpomembnejše hitro, vendar premišljeno ukrepanje.
Prvi korak je omejevanje širjenja napada. Prizadete naprave je treba ustrezno izolirati od omrežja, pri tem pa upoštevati navodila usposobljenih strokovnjakov in ne uničevati dokazov, ki bi bili pomembni za preiskavo.
Nato je treba vključiti odgovorno osebo za informacijsko varnost oziroma zunanjega strokovnjaka, ki lahko pomaga oceniti obseg incidenta, zavarovati dokaze in pripraviti načrt okrevanja.
Podjetje naj preveri, ali so prizadete varnostne kopije, kateri uporabniški računi so bili kompromitirani in ali je treba začasno ustaviti določene sisteme.
Če ima sklenjeno kibernetsko zavarovanje, je treba čim prej preveriti navodila za prijavo incidenta in kontaktirati zavarovalnico v skladu s pogodbenimi zahtevami. Nepooblaščeno naročanje storitev ali sprejemanje pomembnih odločitev brez preverjanja pogojev lahko v nekaterih primerih oteži uveljavljanje kritja.
Pomembno je tudi, da podjetje ne plača odkupnine zgolj zaradi pritiska napadalcev. Najprej mora razumeti dejansko stanje, možnosti obnove, pravne obveznosti in tveganja.
V takšnih trenutkih je pripravljen načrt odziva izjemno dragocen. Omogoča, da zaposleni vedo, koga obvestiti, katere sisteme zaščititi in kako začeti obnovo poslovanja.
Manjša podjetja niso nujno manj zanimiva za napadalce
Še vedno je mogoče slišati prepričanje, da so tarče kibernetskih napadov predvsem velike korporacije in finančne ustanove.
Toda manjše podjetje je lahko zanimivo prav zato, ker ima dostop do pomembnih podatkov, posluje z večjimi naročniki ali nima dovolj razvite varnostne infrastrukture.
Napadalci pogosto ne potrebujejo osebnega razloga za napad na določeno podjetje. Uporabijo lahko avtomatizirana orodja, iščejo ranljive sisteme ali izkoriščajo ukradene prijavne podatke.
Podjetje z desetimi zaposlenimi lahko zato utrpi resne posledice, če izgubi dostop do sistema za naročila, računovodstvo, proizvodnjo ali komunikacijo s strankami.
Velikost podjetja ni edino merilo tveganja. Pomembno je, kako odvisno je od svojih podatkov, kakšne varnostne ukrepe uporablja in koliko časa lahko deluje brez ključnih sistemov.
Prav zato je smiselno, da tudi manjša podjetja ocenijo svojo izpostavljenost kibernetskim tveganjem in preverijo, ali imajo poleg tehničnih ukrepov urejeno tudi finančno zaščito.
Ali je vaše podjetje pripravljeno na kibernetski napad?
Na kibernetski napad se ni mogoče pripraviti tako, da bi zagotovili, da se nikoli ne bo zgodil. Lahko pa se pripravite na to, kako boste tveganje zmanjšali in kaj boste storili, če do incidenta pride.
Pomembno je, da podjetje redno izdeluje in preizkuša varnostne kopije, ustrezno varuje dostop do sistemov, posodablja programsko opremo in izobražuje zaposlene. Prav tako mora vedeti, kako bo ukrepalo ob napadu in kako hitro lahko obnovi najpomembnejše poslovne procese.
Poleg tehničnih in organizacijskih ukrepov je smiselno preveriti tudi zavarovalno zaščito.
Ali vaše obstoječe zavarovanje vključuje kibernetska tveganja? Bi lahko pomagalo pri stroških strokovne pomoči in obnove sistemov? Ali so pod določenimi pogoji kriti tudi finančni učinki prekinitve poslovanja? In katere izključitve ali omejitve bi lahko vplivale na morebitno izplačilo?
Odgovori na ta vprašanja so pomembni, še preden se na zaslonu pojavi sporočilo, da so vaši podatki zaklenjeni.
Ne čakajte na prvi kibernetski napad, da ugotovite, kako dobro je vaše podjetje zaščiteno.
Skupaj lahko pregledamo ključna tveganja vašega poslovanja, preverimo pomembne elemente obstoječih polic in ugotovimo, katera vprašanja je treba razjasniti pri izbiri ustrezne zaščite.
Ker pri kibernetskem napadu ni ogrožena samo vsebina vaših računalnikov. Ogroženi so lahko tudi neprekinjeno poslovanje, zaupanje strank in finančna stabilnost podjetja.