Etter hvert som sikkerhetsbrudd blir en del av den daglige driften, hvordan har samtalen utviklet seg, og hva avslører nylige hendelser om god – og dårlig – hendelsesrespons?
Selv for så lite som fem år siden ble et selskap som ble utsatt for et sikkerhetsbrudd gransket grundig, inkludert måneder med gjennomgang av hvordan og hvorfor angrepet hadde rammet – spesielt hvis sensitive data ble eksponert.
Selv om denne typen gransking fortsatt skjer, er det nå allment akseptert at cyberangrep vil finne sted, spesielt rettet mot høyprofilerte firmaer. Dette var altfor tydelig nylig da selskaper som Coca-Cola , Ernst & Young , Craneware og Abbott alle innrømmet cyberhendelser med få måneders mellomrom.
Utover selve sikkerhetsbruddet viser disse avsløringene på tvers av flere bransjer over en kort periode en større trend. Etter hvert som cyberhendelser blir vanskeligere å forhindre, legger kunder, regulatorer og partnere større vekt på hvordan organisasjoner reagerer, gjenoppretter og kommuniserer når noe går galt.
Hvordan har samtalen utviklet seg, og hva avslører nylige brudd om god – og dårlig – hendelsesrespons?
Endrede forventninger
Forventningene rundt cyberhendelser har endret seg. For et tiår siden ble organisasjoner i stor grad bedømt ut fra om de i det hele tatt ble utsatt for et sikkerhetsbrudd. I dag forstår interessenter at «ingen organisasjon er immun», sier Doug Jewitt, sikkerhetskonsulent hos Infinity Group.
Han beskriver hvordan fokuset har skiftet til hvor raskt en organisasjon identifiserer en hendelse, hvor transparent den reagerer og hvor effektivt den gjenoppretter seg. «Det er en klar forventning om at organisasjoner i alle størrelser har tekniske kontroller av passende størrelse på plass.»
De nylige avsløringene som involverer Coca-Cola, Ernst & Young, Craneware og Abbott viser at «rettidig og innholdsrik kommunikasjon» kan dempe reaksjoner fra interessenter, sier Tracey Hannan-Jones, direktør for informasjonssikkerhetsrådgivning i UBDS Group. «Taushet, forsinkelser eller vage uttalelser inviterer til spekulasjoner og forårsaker ofte omdømmeskader som er uforholdsmessig store i forhold til den tekniske hendelsen. En organisasjon som ikke klarer å forklare hva som skjedde, hva den gjør og hva som forblir ukjent, signaliserer at den var uforberedt.»
Forskjellen mellom en god og dårlig respons dreier seg om «synlighet og kontekst», sier Jeremy Leasher, sikkerhetsarkitekt hos Binalyze. Han mener det nylige angrepet på helseorganisasjonen Stryker er et tydelig eksempel på hvor ting kan gå galt.
«Den første uttalelsen antydet at det ikke fantes ransomware eller skadelig programvare, og at hendelsen var innhentet», forteller Leasher til IO.
Teknisk sett var dette nøyaktig, men da det viste seg at angrepet kom gjennom et pålitelig administrasjonsverktøy i stedet for skadelig programvare, spilte det ingen rolle, sier Leasher. «Strategisk sett så det ut som Stryker ikke forsto trusselen.»
Regulatorroller
I mellomtiden spiller regulatorer nå en sentral rolle i å utforme hendelsesrespons, inkludert forventninger rundt rapportering og offentliggjøring.
Den generelle oppdateringen av Storbritannias personvernforordning ( GDPR ) krever rapportering av brudd på personopplysninger innen 72 timer, mens Financial Conduct Authority , EUs nettverks- og informasjonssystemdirektiv nr. 2 og det amerikanske finanstilsynet (SEC) pålegger ytterligere varslingsplikter. «Regulatorer vurderer i økende grad ikke bare om varslingen har funnet sted, men også hastigheten, kvaliteten, nøyaktigheten og oppfølgingen», sier Hannan-Jones fra UBDS Group.
En av de største praktiske konsekvensene er timing, sier David Dumont, partner i Hunton. Han påpeker at mange rapporteringsplikter har svært korte frister. «Så organisasjoner må kanskje bruke betydelig tid og ressurser på å vurdere varslingskrav og utarbeide skjemaer til tilsynsmyndighetene nesten umiddelbart etter at de blir oppmerksomme på en hendelse, ofte mens fakta fortsatt er under utvikling.»
Samtidig spiller regulatoren selv en stadig viktigere rolle, sier Freeths’ dataekspert Paul Wiggins. Han påpeker at det britiske informasjonskommisjonærkontoret (ICO) har sterkere håndhevingsmyndigheter i henhold til databruks- og tilgangsloven . «Det forventes at ICO vil fungere som en regulatorisk portvokter, med håp om at dette vil gi en løsning for krav av lav verdi», sier han til IO.
Hastighet, åpenhet og nøyaktighet
Selv om angrepene fortsetter å ramme bedrifter, mener mange eksperter at bedrifter blir bedre til å håndtere cyberhendelser. Dray Agha, seniorleder for sikkerhetsoperasjonssenteret i EMEA hos Huntress, sier at ting forbedrer seg i stor grad fordi det historiske stigmaet rundt et sikkerhetsbrudd er i ferd med å falme. «Bedrifter erkjenner at hendelser er en «når»-realitet, ikke en hvis»-realitet, noe som lar dem flytte energien sin bort fra å skjule problemet og mot å minimere nedetiden.»
Det er nå viktig at organisasjoner finner balansen mellom hastighet, åpenhet og nøyaktighet under en hendelse.
Å reagere godt på et sikkerhetsbrudd krever flere viktige trinn. Det er avgjørende å ha de riktige retningslinjene og teamet på plass for å «handle når tiden er inne», sier Freeths' Wiggins.
Han fremhever viktigheten av et team som inkluderer eksterne rådgivere – som advokater, PR-agenter og cyberforsikringsselskaper – som han mener er «grunnleggende» for å utforme strategien og responsen på en hendelse. «I tillegg en vilje til å berolige og støtte berørte registrerte, samt å samarbeide med partnere i forsyningskjeden som merker hendelsens ringvirkninger.»
Organisasjonene som reagerer best på et sikkerhetsbrudd har planlagt på forhånd, sier Binalyzes Leasher.
I bunn og grunn mener han at de burde kunne svare raskt på de tre grunnleggende spørsmålene: «Har angriperen fortsatt tilgang? Hvordan kom de seg inn? Hva tok de med seg?»
Kommunikasjon og åpenhet er avgjørende og kan være «forskjellen mellom at en cyberhendelse blir en forretningsutfordring eller en omdømmekrise», påpeker Jewitt fra Infinity Group. «Kunder, partnere og regulatorer forstår at etterforskning tar tid, men de forventer ærlighet, rettidige oppdateringer og klare forklaringer på hva som er kjent, hva som fortsatt etterforskes og hvilke tiltak som iverksettes.»
Nøkkelen er å «kommunisere det du vet, erkjenne det du ikke vet og forplikte deg til regelmessige oppdateringer», sier Jewitt. «Å vente på perfekt informasjon kan forsinke kritiske beslutninger, men å forhaste seg med å trekke konklusjoner kan skade tilliten.»
Sterkt styresett
Sterk styring ligger til grunn for effektiv hendelsesrespons. Dette betyr å sikre tydelig eierskap, etablerte prosesser og informert beslutningstaking før en krise oppstår.
Sterk styring sikrer at beslutninger kan tas raskt og trygt under en krise, sier Jewitt. «Tydelig eierskap, etablerte eskaleringsveier og godt forstått ansvar fjerner usikkerhet når tid teller som mest. Organisasjoner som investerer i styring før en hendelse er vanligvis bedre rustet til å håndtere regulatoriske krav, interessentkommunikasjon og gjenopprettingsarbeid når en hendelse inntreffer.»
Stellar hendelsesrespons kan ikke improviseres, sier Hannan-Jones fra UBDS Digital. «Deteksjon er viktig, men rask innsamling avhenger av klar autoritet og innøvd koordinering. Tekniske, juridiske, kommunikasjons- og lederteam må samarbeide fra starten av. Cyberhendelser som påvirker data, immaterielle rettigheter eller drift er forretningshendelser, ikke bare IT-problemer. Synlig eierskap på styrenivå er avgjørende.»
ISO 27001 kan styrke beredskapen når den behandles som et operativt rammeverk, men sertifisering alene er ikke tilstrekkelig, sier Hannan-Jones. «Utestede planer, dårlig forstått ansvar og IT-baserte øvelser skaper falsk tillit.»
Hun sier at effektiv motstandskraft hviler på fire innøvde evner: «Oppdage, begrense, reagere og gjenopprette.»
Utvid din kunnskap
Blogg: Hvorfor cyberrobusthet fortsatt er langt unna for mange britiske bedrifter
Podkast: Styrerom til pauserom – Bygg en etterlevelseskultur
Blogg: Hvordan kan sikkerhetsteam forberede seg på en fremtid etter myter?
