Un plan de incident și o fișă de incident

Modulul 8: Când lucrurile merg prost · Timp de citire: 10 minute

Obiectiv: După această lecție veți putea crea o fișă de incident și un plan de incident simplu, care funcționează și atunci când computerele, e-mailul și lista de telefoane nu mai sunt accesibile.

Noțiuni cheie: incident, fișă de incident, plan de incident, roluri, listă de contacte, limitare, păstrarea probelor, comunicare, păstrare offline, exercițiu (tabletop)

De ce rezolvați acest lucru acum, și nu când arde deja

Imaginați-vă: este luni dimineață, ora 07:45. Pe calculatorul de la casa de marcat a Brutăriei Example apare un ecran roșu cu textul că toate fișierele au fost criptate. Folderul partajat cu comenzile nu se deschide. Cineva spune: "Sunați-l pe cel de la calculatoare." Dar numărul lui este în contactele din căsuța de e-mail, iar căsuța de e-mail se află pe același calculator. Altcineva vrea să oprească imediat calculatorul. O a treia persoană începe să conecteze hard diskul de backup pentru a "restaura totul".

Toate cele trei reacții sunt de înțeles, iar două dintre ele agravează lucrurile. Așa se întâmplă aproape mereu: sub presiune, oamenii fac primul lucru care le vine în minte. Un incident este orice eveniment care amenință disponibilitatea, fiabilitatea sau confidențialitatea datelor sau sistemelor dumneavoastră: un cont de e-mail spart, ransomware, un laptop pierdut, un e-mail cu date ale clienților trimis persoanei greșite, un site web preluat de altcineva.

Scopul unui plan nu este ca totul să meargă bine. Scopul este ca în prima oră să nu faceți greșeli pe care nu le mai puteți repara și să știți pe cine să sunați.

Fișă de incident și plan de incident: diferența

Pentru o companie de două până la douăzeci de persoane, fișa este cea mai importantă. Planul poate fi scurt. Autoritatea națională de securitate cibernetică din Țările de Jos (NCSC) are un plan detaliat de răspuns la incidente pentru ransomware (a se vedea Pentru a afla mai multe); îl puteți folosi ca punct de plecare și îl puteți scurta.

Ce conține fișa de incident

O fișă bună răspunde la cinci întrebări. Mai jos găsiți un șablon pe care îl puteți prelua.

FIȘĂ DE INCIDENT  Brutăria Example          versiune: 1   data: ..-..-....

1. OBSERVAȚI CEVA CIUDAT?  (ecran roșu, e-mail ciudat trimis, autentificarea nu reușește,
   plată necunoscută, laptop pierdut, date trimise destinatarului greșit)
   -> Anunțați IMEDIAT pe: ............................  tel: ...............
      Rezervă: ..........................................  tel: ...............
   A anunța este întotdeauna un lucru bun. Nimeni nu este învinovățit.

2. PRIMII PAȘI (nu încercați să reparați singuri)
   [ ] Scoateți cablul de rețea / opriți wifi / mod avion. NU opriți aparatul.
   [ ] Deconectați hard diskurile USB și de backup. NU le conectați.
   [ ] Faceți o fotografie a ecranului (cu telefonul dumneavoastră).
   [ ] Notați: ora, ce ați văzut, ce ați făcut.
   [ ] Nu plătiți, nu răspundeți șantajistului.

3. PE CINE SUNĂM?
   Suport IT / administrator  ............................  tel: ...............
   Găzduire / e-mail          ............................  tel: ...............
   Banca (fraudă, 24/7)       ............................  tel: ...............
   Asigurător (cyber)         ............................  poliță: .............
   Poliția (plângere)         112 (urgențe) / numărul local al poliției
   Notificare ANSPDCP (încălcare a securității datelor)  https://www.dataprotection.ro/ (în termen de 72 de ore)
   Client/furnizor important: ...................  tel: ...............

4. CINE DECIDE ȘI CINE VORBEȘTE?
   Decide (oprire, restaurare, notificare, plată): ..........................
   Vorbește cu clienții, presa, personalul: ...................................
   Ține evidența jurnalului: .....................................................

5. UNDE SE AFLĂ CE?
   Copii de siguranță: .............................. (ultimul test: ..-..-....)
   Acces de urgență la managerul de parole: ...........................................
   Lista sistemelor și conturilor: ..........................................
   Acest plan (digital) + copie în afara firmei: ..............................

Câteva alegeri din acest șablon merită explicate.

• "Nu opriți aparatul, dar deconectați-l." În cazul ransomware, autoritatea națională de securitate cibernetică din Țările de Jos (NCSC) recomandă deconectarea imediată a aparatului afectat de la rețea (cablu, wifi, rețea mobilă), dar fără a-l opri; modul de repaus este permis. În memoria de lucru rămân urme de care un investigator ar putea avea nevoie, și uneori chiar chei de decriptare. Deconectarea oprește răspândirea către alte aparate și către discul de rețea.
• "Nu conectați hard discurile de backup." Un disc pe care îl conectați la un calculator infectat va fi și el criptat. Mai întâi trebuie să fiți siguri că mediul este curat (lecția 8.3).
• "A anunța este întotdeauna un lucru bun." Angajatul care observă primul ceva este cea mai bună apărare a dumneavoastră. Dacă acestuia îi este teamă de o mustrare, va aștepta, iar dumneavoastră veți pierde ore prețioase. A se vedea și lecția 9.2.
• Numere pe hârtie. Tocmai în cazul unui incident major, e-mailul dumneavoastră, calendarul partajat și uneori chiar centrala telefonică nu mai funcționează. O fișă care există doar în cloud este atunci inaccesibilă.

Pentru plângeri la poliție, folosiți numărul local de urgență (112) sau canalul desemnat de poliție pentru cazuri fără caracter urgent, conform informațiilor din țara dumneavoastră. În caz de pericol imediat sunați 112, dar un atac cibernetic nu este de obicei un caz pentru 112.

Roluri: cine face ce

Într-o companie mică, o singură persoană se ocupă adesea de tot. Totuși, stabiliți trei roluri, chiar dacă două au același nume:

1. Decidentul. Decide privind oprirea, restaurarea, notificarea către ANSPDCP, contactul cu banca și dacă este nevoie de un specialist extern. De preferință proprietarul sau directorul, cu un înlocuitor fix.
2. Linia tehnică. Furnizorul dumneavoastră de IT, dezvoltatorul site-ului web sau colegul priceput. Face ce cere decidentul și oferă sfaturi. Stabiliți dinainte dacă furnizorul dumneavoastră de IT ajută și în caz de incident, cât de repede și cât costă; aceasta este o întrebare pentru lecția 7.2.
3. Comunicatorul. Vorbește cu clienții, personalul și eventual presa, astfel încât să existe o singură versiune comunicată în exterior. În cazul unei încălcări a securității datelor, aceasta include și informarea persoanelor vizate (lecția 8.2).

Desemnați și pe cineva care ține un jurnal: ora, ce s-a întâmplat, cine ce a decis. Pare birocratic, dar aveți nevoie de el pentru notificarea către ANSPDCP (care întreabă când ați descoperit scurgerea și ce ați făcut), pentru asigurător, pentru plângerea la poliție și pentru evaluarea ulterioară.

Planul: câteva reguli pentru fiecare tip de incident

Pe lângă fișă, scrieți o abordare scurtă pentru fiecare incident frecvent. Patru sunt suficiente pentru a începe:

Stabiliți și care sisteme sunt cele mai importante, în ordine. La Brutăria Example, de exemplu, aceasta este: casa de marcat și terminalul de plată, comenzile de astăzi, e-mailul, contabilitatea, site-ul web. La restaurare, începeți de sus. A se vedea și RPO și RTO în lecția 6.3.

Exercițiu: o jumătate de oră la masă

Un plan pe care nimeni nu îl cunoaște nu funcționează. Un exercițiu tabletop durează o jumătate de oră: stați la masă cu persoanele care au un rol și jucați un scenariu, fără a atinge nimic. Moderatorul (puteți fi chiar dumneavoastră) povestește pas cu pas ce se întâmplă.

Exemplu: "Este vineri, ora 16:30. Contabilul primește un e-mail de la un furnizor obișnuit: IBAN-ul s-a schimbat, factura restantă de 8.400 euro trebuie plătită astăzi în noul cont. Ce faceți?" Și apoi: "Este luni. Furnizorul sună: nu a primit nimic." La fiecare pas întrebați: cine face ce, pe cine sunați, unde se află numărul respectiv?

După încheiere, notați ce a lipsit. Aproape întotdeauna este vorba de un număr de telefon, o parolă cunoscută doar de o singură persoană sau neclaritate privind cine decide. Actualizați fișa și puneți noua dată pe ea. Un exercițiu pe an și o verificare a fișei este un ritm bun pentru o companie mică, și de asemenea după fiecare schimbare majoră (furnizor IT nou, program de contabilitate nou).

În practică: cum arată

Includeți în fișa dumneavoastră și locurile concrete unde puteți interveni rapid la furnizorii dumneavoastră. La WebOké, de exemplu, acestea sunt: vizualizarea și delogarea sesiunilor active în Contul meu WebOké, planul de pași "Site-ul meu a fost spart" din manualul DirectAdmin și restaurarea unei copii de siguranță. La alți furnizori de găzduire, e-mail și cloud există funcții similare; căutați-le înainte de a avea nevoie de ele și notați unde se găsesc.

Rezumat

• O fișă de incident (o singură pagină A4, pe hârtie) asigură că toată lumea face ce trebuie în primele minute: anunță, deconectează dar nu oprește, nu conectează copiile de siguranță, nu plătește nimic.
• Stabiliți roluri: cine decide, cine face munca tehnică, cine comunică, cine ține jurnalul.
• Scrieți pentru fiecare incident frecvent o abordare scurtă și ordinea sistemelor dumneavoastră cele mai importante.
• Păstrați numerele și planul și în afara calculatoarelor dumneavoastră.
• Exersați anual o jumătate de oră la masă și actualizați fișa.

Test

Exercițiu

Exercițiul D8.1: Propria dumneavoastră fișă de incident. Preluați șablonul din această lecție și completați-l pentru propria companie: nume reale, numere și locuri. Printați-l, afișați-l și faceți o fotografie pentru telefonul dumneavoastră. Apoi, împreună cu un coleg (sau singur), jucați scenariul IBAN din această lecție timp de un sfert de oră și notați ce v-a lipsit.

Pentru a afla mai multe

Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează similar.

• Manual DirectAdmin 18.2: Site-ul meu a fost spart (hackuit): plan de acțiune
• Ajutor! Site-ul meu a fost spart. Cum pot rezolva sau preveni acest lucru?
• Manual WebOké 3.6: Vizualizarea și deconectarea sesiunilor active
• Autoritatea națională de securitate cibernetică din Țările de Jos (NCSC), Ce trebuie făcut în cazul unui atac ransomware?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Autoritatea națională de securitate cibernetică din Țările de Jos (NCSC), Plan de răspuns la incidente Ransomware (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• Directiva NIS2: https://eur-lex.europa.eu/eli/dir/2022/2555/oj