Vad du ska göra om ditt lilla företag är ett offer för en cyberattack

Nedsänkt i en cyberattack är det inte dags att ta reda på hur man ska svara. En expert ger förslag på hur man skapar en företagsspecifik incident-responsplan.

Bild: iStockphoto/ipopba

Ditt lilla företag mår bra. Du hoppas att årets julsäsong kommer att bli en storsäljare. Förra året förstörde covid nästan verksamheten. I år borde vara annorlunda: Prognoserna ser bra ut.

Måste läsa säkerhetstäckning

Det är sent på natten, varför skulle min partner ringa mig nu? “Vad är det Harry?”

“Hej Tom, kan du försöka komma in i nätverket? jag kan inte.”

“Låt mig försöka. Det är konstigt; Jag kan inte komma in i databasen – åtkomst nekas.”

“Det är vad jag får också.”

Dessa företagsägare kommer att ha flera svåra dagar och åtminstone ett svårt beslut att fatta. Deras verksamhet upplever en ransomware-attack. Deras anställda kan inte arbeta. Kunder ringer eftersom företagets hemsida inte fungerar. De har ingen aning om vad de ska göra nu. Det är en röra.

SER: Responspolicy för säkerhetsincidenter (TechRepublic Premium)

Tekniska medier och marknadsförare har alla möjliga lösningar, varav de flesta är för dyra för småföretagare med snäva budgetar. De spelar hellre på att bli lämnade ensamma av cyberskurkarna. Det slutar dock med att bli ett problem om företaget utsätts för en cyberattack. Vem gör vad och när?

Att misslyckas med att planera är planering att misslyckas

Varje företag har en affärsplan. Jim Bowers, säkerhetsarkitekt på TBI, anser att även de minsta företag bör ha en cybersäkerhetsincident-responsplan, utformad för att hjälpa dem som svarar på en cybersäkerhetshändelse på ett meningsfullt sätt.

Bowers förstår att småföretagare kan vara tveksamma till att självständigt skapa ett dokument och en process som kan göra eller förstöra deras företag. För att hjälpa till att lindra deras rädslor har Bowers skapat följande disposition som utgångspunkt för att bygga en företagsspecifik incident-responsplan. Bowers delar in konturen i tre tidsperioder: den första timmen, den första dagen och när dammet lägger sig.

Under den första timmen: Begränsa och isolera brottet

Efter att ha upptäckt att det har skett en cyberattack är det första steget att begränsa hotet, även om det innebär att allting är offline. Nästa steg innebär att lokalisera skadan, fastställa vilka system som var inblandade och identifiera om data har äventyrats. Detta säkerställer att situationen inte går utom kontroll.

Ovanstående steg kan kräva att man kallar in experter som redan är bekanta med företagets digitala infrastruktur och affärstillgångar, så det är viktigt att ha deras kontaktinformation tillgänglig. Med det i åtanke, använd inte traditionella kommunikationsmetoder – angriparen kan fånga upp konversationerna (e-post eller digital röst). Bowers sa: “Angriparen vill sprida sig över företagets infrastruktur, så digital trafik måste dirigeras om för att förhindra att attacken sprids.”

SER: Hur man hanterar lösenord: Bästa metoder och säkerhetstips (gratis PDF) (TechRepublic)

Om intrånget involverar ransomware föreslog Bowers att du inte skulle betala. “Det finns ingen garanti för att cyberbrottslingarna kommer att ge tillbaka åtkomst till de sekvestrerade uppgifterna om de får betalt,” sa han. “Och om cyberbrottslingarna får betalt finns det ingen garanti för att de inte kommer att försöka igen.”

Under den första dagen: Dokumentera och arbeta med återhämtning

Ett brott upphör inte när det väl har åtgärdats. Angriparna hoppas att det är fallet, eftersom de tenderar att lämna bakdörrar för att förenkla deras återkomst. Bowers sa, “Gör det till en hög prioritet att bestämma angriparens ingångspunkt och arbeta för att stänga det gapet och andra potentiella ingångspunkter.”

SER: Ransomware-attack: Varför ett litet företag betalade 150 000 $ lösen (TechRepublic)

Följande lista innehåller förslag som bör utföras inom de första 24 timmarna efter cybersäkerhetsincidenten:

• IT-chefer bör debriefa och arbeta med att ta bort alla kända spår av attacken och utföra en systemomfattande undersökning för ytterligare svagheter relaterade till cyberattacken.
• Engagera interna parter (marknadsförings-, juridiska och PR-team) och externa parter (rättsbekämpande och statliga myndigheter) som behöver veta eller uppfylla de myndighetskrav som krävs.
• När de interna teamen har en chans att kommunicera och skapa en strategi måste kunderna informeras.
• Det är viktigt att dokumentera all information om attacken – vad som fungerade och vad som inte hjälpte när man försökte stoppa attacken. Denna information ska sedan användas för att korrigera och förbättra incident-responsplanen.

När dammet väl har lagt sig: Lär dig av det

När dammet har lagt sig och verksamheten är online igen bör en allomfattande revision – inklusive ett penetrationstest – göras. Bowers sa att detta är viktigt så att incident-responsplanen kan uppdateras för att hjälpa ansvariga parter att lära sig hur man reagerar snabbare. Kostnaden kommer att vara mindre än att behöva utsättas för ytterligare en cyberattack.

Det är också viktigt att rutinmässigt testa incident-responsplanen. Digital infrastruktur och processer kan förändras och testning kommer att belysa nya svagheter som kontaktinformation som inte längre är giltig.

Få mer information om din plan

Bowers är medveten om att konturen bara är en startpunkt, men den får bollen i rullning innan det outsägliga händer. För en mer detaljerad incidentresponsplan, vänligen kolla in National Institute of Standards and Testings Cybersecurity Framework.