План за действие при инцидент и карта за инцидент

Модул 8: Когато нещо се обърка · Време за четене: 10 минути

Учебна цел: След този урок ще можете да създадете карта за инцидент и опростен план за действие при инцидент, които работят дори ако компютрите, имейлът и телефонният Ви указател са недостъпни.

Основни понятия: инцидент, карта за инцидент, план за действие при инцидент, роли, списък с контакти, ограничаване на щетите, съхраняване на доказателства, комуникация, офлайн съхранение, упражнение (tabletop)

Защо го уреждате сега, а не когато „гори“

Представете си: понеделник сутрин, 07:45 ч. На касовия компютър на Bakery Example се появява червен екран с текст, че всички файлове са криптирани. Споделената папка с поръчките не се отваря. Някой казва: „Обадете се на компютърджията.“ Но неговият номер е записан в контактите на пощенската кутия, а пощенската кутия е на същия компютър. Друг иска веднага да изключи компютъра. Трети започва да свързва диска с резервното копие, за да „възстанови всичко“.

И трите реакции са разбираеми, а две от тях влошават положението. Така се случва почти винаги: под натиск хората правят първото, което им хрумне. Инцидент е всяко събитие, което застрашава наличността, надеждността или поверителността на Вашите данни или системи: хакнат имейл акаунт, ransomware, изгубен лаптоп, имейл с данни на клиент, изпратен до грешния получател, превзет уебсайт.

Целта на плана не е всичко да мине добре. Целта е през първия час да не допуснете грешки, които не могат да бъдат поправени, и да знаете на кого да се обадите.

Карта за инцидент и план за действие при инцидент: разликата

За предприятие с двама до двадесет души картата е най-важна. Планът може да бъде кратък. Нидерландският NCSC има подробен план за реагиране при инциденти с ransomware (вижте „Прочетете още“); можете да го използвате като отправна точка и да го съкратите.

Какво стои на картата за инцидент

Добрата карта отговаря на пет въпроса. По долу е даден образец, който можете да приемете.

КАРТА ЗА ИНЦИДЕНТ  Bakery Example            версия: 1   дата: ..-..-....

1. ЗАБЕЛЯЗВАТЕ ЛИ НЕЩО СТРАННО?  (червен екран, изпратен странен имейл, вход не работи,
   непозната плащане, изгубен лаптоп, данни изпратени до грешен получател)
   -> Съобщете ВЕДНАГА на: ............................  тел: ...............
      Резерва: ..........................................  тел: ...............
   Съобщаването винаги е добре. Никой не е виновен.

2. ПЪРВИ СТЪПКИ (не поправяйте сами)
   [ ] Извадете мрежовия кабел / изключете Wi-Fi / режим „самолет“. НЕ изключвайте устройството.
   [ ] Разкачете USB и дискове с резервни копия. НЕ ги свързвайте.
   [ ] Направете снимка на екрана (с телефона си).
   [ ] Запишете: час, какво видяхте, какво направихте.
   [ ] Не плащайте, не отговаряйте на изнудвача.

3. НА КОГО СЕ ОБАЖДАМЕ?
   ИТ поддръжка / администратор   ............................  тел: ...............
   Хостинг / имейл        ............................  тел: ...............
   Банка (измама, 24/7)   ............................  тел: ...............
   Застраховател (киберзастраховка)   ............................  полица: .............
   Полиция (подаване на сигнал)    112 (спешен номер)
   Уведомяване на КЗЛД за нарушение на сигурността на данните  (в рамките на 72 часа)
   Важен клиент/доставчик: ...................  тел: ...............

4. КОЙ РЕШАВА И КОЙ ГОВОРИ?
   Решава (изключване, възстановяване, уведомяване, плащане): ..........................
   Говори с клиенти, преса, персонал: ........................................
   Води дневника: .....................................................

5. КЪДЕ КАКВО СЕ НАМИРА?
   Резервни копия: .............................. (последен тест: ..-..-....)
   Авариен достъп до мениджъра на пароли: ...........................................
   Списък на системите и акаунтите: ..........................................
   Този план (цифров) + копие извън предприятието: ..............................

Няколко избора в този образец заслужават обяснение.

• „Не изключвайте, но разкачете.“ При ransomware нидерландският NCSC препоръчва засегнатото устройство веднага да се откачи от мрежата (кабел, Wi-Fi, мобилна мрежа), но да не се изключва; режим на заспиване е допустим. В работната памет има следи, които може да са нужни на специалист по разследването, а понякога дори ключове за декриптиране. Разкачането спира разпространението към други устройства и към мрежовия диск.
• „Не свързвайте дискове с резервни копия.“ Диск, свързан към заразен компютър, също ще бъде криптиран. Първо трябва да е сигурно, че средата е чиста (урок 8.3).
• „Съобщаването винаги е добре.“ Служителят, който пръв забележи нещо, е най-добрата Ви защита. Ако той се страхува от упрек, ще изчака и Вие ще загубите часове. Вижте и урок 9.2.
• Номера на хартия. Именно при голям инцидент имейлът Ви, споделеният календар, а понякога и телефонната Ви централа не работят. Карта, която съществува само в облака, тогава е недостъпна.

Номерът на полицията важи за случаи без спешност; предприятията уговарят среща за подаване на сигнал чрез него. При пряка опасност се обаждате на 112, но кибератака обикновено не е спешен случай.

Роли: кой какво прави

В малко предприятие често един човек върши всичко. Въпреки това се договорете за три роли, дори ако две от тях носят едно и също име:

1. Решаващият. Решава за изключване, възстановяване, уведомяване на КЗЛД, контакт с банката и дали да се повика външен специалист. За предпочитане собственикът или директорът, с определен заместник.
2. Техническата линия. Вашият ИТ доставчик, уебразработчик или сръчен колега. Изпълнява каквото поиска решаващият и съветва. Договорете предварително дали Вашият ИТ доставчик помага и при инцидент, колко бързо и на каква цена; това е въпрос за урок 7.2.
3. Комуникаторът. Говори с клиенти, персонал и евентуално пресата, така че навън да излиза една и съща версия. При нарушение на сигурността на данните тук спада и информирането на засегнатите лица (урок 8.2).

Определете също някой, който води дневник: час, какво се е случило, кой какво е решил. Това изглежда бюрократично, но Ви е нужно за уведомлението пред КЗЛД (тя иска да знае кога сте открили нарушението и какво сте направили), за застрахователя Ви, за подаването на сигнал и за последващата оценка.

Планът: няколко реда за всеки вид инцидент

Освен картата, напишете кратък подход за всеки често срещан инцидент. Четири са достатъчни за начало:

Запишете също кои системи са най-важни, подредени по приоритет. При Bakery Example това е например: каса и ПОС терминал, днешните поръчки, имейл, счетоводство, уебсайт. При възстановяване започвате отгоре. Вижте също RPO и RTO в урок 6.3.

Упражнение: половин час на масата

План, който никой не познава, не работи. Упражнението tabletop отнема половин час: сядате с хората, които имат роля, около масата и разигравате сценарий, без да докосвате нищо. Водещият (може да сте самите Вие) разказва стъпка по стъпка какво се случва.

Пример: „Петък е, 16:30 ч. Счетоводителят получава имейл от постоянен доставчик: IBAN номерът е променен, неплатената фактура от 8 400 евро да се преведе още днес по новата сметка. Какво правите?“ А после: „Понеделник е. Доставчикът се обажда: не е получил нищо.“ На всяка стъпка питате: кой какво прави, на кого се обаждате, къде е записан този номер?

След края записвате какво е липсвало. Почти винаги това е телефонен номер, парола, която знае само един човек, или неяснота кой решава. Коригирайте картата и поставете нова дата. Едно упражнение годишно и преглед на картата е добър ритъм за малко предприятие, а също и след всяка голяма промяна (нов ИТ доставчик, нов счетоводен софтуер).

На практика: така изглежда

Включете в картата си и конкретните места, където можете бързо да предприемете действия при Вашите доставчици. При WebOké това е например: преглед и прекратяване на активни сесии в Моят WebOké, стъпка по стъпка ръководството „Моят уебсайт е хакнат“ в наръчника за DirectAdmin и възстановяването на резервно копие. При други доставчици на хостинг, имейл и облачни услуги съществуват подобни функции; потърсете ги, преди да Ви потрябват, и запишете къде се намират.

Обобщение

• Картата за инцидент (един лист A4, на хартия) гарантира, че всеки в предприятието знае какво да прави в първите минути: съобщаване, разкачане без изключване, резервните копия не се свързват, нищо не се плаща.
• Договорете роли: кой решава, кой извършва техническата работа, кой комуникира, кой води дневника.
• Напишете кратък подход за всеки често срещан инцидент и подредете по приоритет най-важните си системи.
• Съхранявайте номерата и плана и извън компютрите си.
• Упражнявайте се веднъж годишно по половин час на масата и актуализирайте картата.

Тест

Задача

Задача D8.1: Вашата собствена карта за инциденти. Вземете образеца от този урок и го попълнете за Вашето предприятие: реални имена, номера и места. Разпечатайте го, окачете го и направете снимка за телефона си. След това с един колега (или сами) разиграйте сценария с IBAN от този урок за четвърт час и запишете какво Ви е липсвало.

Прочетете още

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по подобен начин.

• Ръководство за DirectAdmin 18.2: Моят сайт е хакнат: план за действие
• Помощ! Сайтът ми е хакнат. Как да го поправя или предотвратя?
• Ръководство на WebOké 3.6: Преглед на активни сесии и изход
• Нидерландският NCSC, Какво да направите при атака с ransomware?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Нидерландският NCSC, План за реагиране при инциденти с Ransomware (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• ГДБОП, сектор „Киберпрестъпност“: https://www.cybercrime.bg/