Большинство организаций в Великобритании и Европе не испытывают трудностей с восстановлением после кибератак вроде программ-вымогателей исключительно из-за отсутствия резервных копий. Главная проблема заключается в том, что компании пытаются восстановить абсолютно все системы одновременно. Об этом заявляет вице-президент компании Cohesity по Великобритании и Ирландии. После крупного инцидента в сфере информационной безопасности естественным желанием руководства становится возвращение каждого сервиса в рабочее состояние как можно быстрее, так как это кажется кратчайшим путем к нормальной работе.
Однако на практике такой подход чаще всего существенно замедляет процесс восстановления, повторно создает киберриски и подрывает доверие именно тогда, когда оно больше всего необходимо организации. Компании, которым удается восстановиться быстрее всего, исходят из совершенно иной предпосылки. Они заранее предполагают, что значительная часть их инфраструктуры окажется недоступной или недоверенной, и планируют свои действия соответствующим образом. Подобное мышление формирует гораздо более четкую и понятную цель: оперативно восстановить то, что имеет наибольшее значение, и сделать это в таком состоянии, которому можно полностью доверять.
Концепция минимально жизнеспособной компании
Сосредоточение внимания на ключевых областях организации лежит в основе концепции Minimum Viable Company, которую иногда называют минимально жизнеспособной организацией или сокращенно MVC. Данная концепция представляет собой определение того, что обязательно должно существовать для выживания компании в крайне сложных условиях, включая серьезные киберинциденты. Это далеко не чисто технологический подход, а полноценное бизнес-определение выживания. Оно выражается через минимальную необходимую комбинацию людей, процессов, технологий, внутренней документации, физических объектов и сторонних зависимостей, которая требуется для поддержания работоспособности бизнеса и непрерывного создания ценности.
Для успешного внедрения и запуска концепции MVC на практике существует пять ключевых возможностей и направлений работы. Первым важным шагом является обеспечение полной ясности в отношении критически важных сервисов. Организации требуется точное понимание тех систем и зависимостей, которые напрямую поддерживают генерацию доходов и выполнение важнейших операционных задач. Для полноценного понимания MVC критически важно сопоставить имеющиеся IT-системы с реальной бизнес-ценностью. Без такого анализа невозможно корректно определить минимально жизнеспособную структуру. Начальные шаги предполагают проведение структурированной оценки, достижение полного взаимопонимания между бизнес-подразделениями и технологическими стейкхолдерами, а также прохождение реалистичного моделирования сценариев восстановления в условиях жесткого давления.
Подобные меры позволяют выявить ключевые области, необходимые для обеспечения ровно такого уровня возможностей, который позволит организации безопасно функционировать во время кризиса и эффективно руководить процессом восстановления. На практике это означает четкое определение того, что именно должно бесперебойно работать в первые 24 часа, первые 72 часа и в течение первой недели после деструктивного инцидента.
Создание доверенного фундамента и изоляция активов
Вторым критическим элементом выступает формирование надежной и доверенной основы, известной как Tier 0. Во время кибератаки многие компании упускают из виду фундаментальный уровень, который позволяет независимо откомпрометированных систем устанавливать контроль над цифровыми удостоверениями и правами доступа. Данный базовый слой представляет собой так называемую плоскость управления для восстановления. Он включает в себя системы управления идентификацией и доступом, сетевую инфраструктуру, службы DNS, средства контроля привилегированного доступа, основные инструменты безопасности, физические системы доступа, а также защищенные каналы связи.
Кроме того, этот уровень охватывает нетехнические зависимости, которые легко упустить из виду до тех пор, пока они не понадобятся срочно: регламенты реагирования на инциденты, актуальные списки контактов, пути эскалации, действующие полисы страхования и контракты с внешними специалистами по реагированию. Без этого фундамента проведение безопасного и доверенного восстановления просто невозможно.
Третий этап заключается в строгой изоляции активов, задействованных в процедуре восстановления. Во время информационной бреши организации обязаны получить полный контроль над своими самыми критическими системами. Это требует восстановления данных отдельно от чистых снимков и проведения расследования параллельно, а не последовательно, чтобы гарантировать отсутствие заражения восстановленных систем вредоносным программным обеспечением. В рамках данного процесса резервные копии, конфигурации и инструменты восстановления должны быть защищены от того же радиуса поражения, что и рабочая среда. Если ключевые активы невозможно изолировать, добиться быстрого и контролируемого восстановления критических систем не удастся.
Чистая комната восстановления и проверка готовности
Четвертым направлением является способность выполнять восстановление в так называемой чистой комнате. Для организации изолированной среды с целью пересборки систем без риска повторного компрометирования компаниям требуется создать так называемую цифровую сумку для экстренного развертывания или Digital Jump Bag. Это безопасное изолированное хранилище, в котором содержится все необходимое для формирования доверенной отправной точки восстановления. Оно позволяет заново выстроить инфраструктуру без повторного внесения уязвимостей или вредоносных компонентов.
Пятым шагом становится подтвержденная и валидированная способность функционировать в кризисных условиях. Следующим этапом после настройки всех элементов является проверка жизнеспособности MVC посредством прохождения реалистичных сценариев кризиса. Устойчивость бизнеса должна быть доказана в реальных условиях, поскольку практика здесь играет решающую роль — непроверенная стратегия остается лишь теорией на бумаге. Регулярные репетиции и учения также помогают заранее ответить на самый прямой вопрос совета директоров во время реальной кибератаки: сколько именно времени потребуется на возвращение критических сервисов в безопасное и доверенное состояние.
Наиболее распространенными рисками в сфере киберустойчивости являются отказ от предварительного определения того, что должно быть возвращено в первую очередь, и неумение вернуть это в полностью доверенном состоянии. Именно в этом заключается принципиальная разница между восстановлением как рутинным процессом и восстановлением как стратегической возможностью. Концепция MVC никогда не является статичной. По мере эволюции самой организации ее определение также должно меняться. Тем не менее фундаментальный принцип остается неизменным: процесс восстановления значительно улучшается тогда, когда компании прекращают попытки реанимировать все подряд и сосредотачиваются исключительно на восстановлении того, что действительно важно для выживания бизнеса.
комментарии закрыты.