Hvorfor en ransomware-beredskabsplan skal skrives, før det sker
Et ransomwareangreb starter sjældent med et brag. Oftest opdager en medarbejder en morgen, at filerne på fællesdrevet har fået mærkelige endelser, og at der ligger en tekstfil med en besked om betaling i hver mappe. I de næste timer skal der træffes mange beslutninger hurtigt: Hvem skal have besked? Skal serverne slukkes? Hvad med kunderne? Kan vi overhovedet komme på mailen?
Uden en plan bliver de beslutninger truffet under pres af folk, der aldrig har prøvet det før. Med en plan er de fleste svar givet på forhånd, og ledelsen kan bruge energien på de valg, der faktisk kræver dømmekraft.
En beredskabsplan til en mindre virksomhed behøver ikke være tyk. Et par sider er nok, hvis de rigtige ting står der, og hvis planen er tilgængelig, når systemerne ikke er.
Hvad en ransomware-beredskabsplan skal indeholde
En brugbar plan dækker seks områder:
| Område | Indhold |
|---|---|
| Roller | Hvem leder krisen, hvem tager sig af det tekniske, hvem kommunikerer |
| Kontaktliste | IT-partner, forsikring, bank, revisor, advokat, vigtige kunder og leverandører |
| Første handlinger | Konkrete trin til de første timer |
| Prioritering | Hvilke systemer skal op først, og hvad kan vente |
| Kommunikation | Hvad siger vi til medarbejdere, kunder og myndigheder |
| Genopretning | Hvordan og hvorfra data gendannes |
Planen skal findes på papir og uden for jeres normale systemer. Ligger den kun på fællesdrevet, er den krypteret sammen med alt det andet.
Udpeg også en stedfortræder for hver rolle. Angreb sker gerne i weekender og ferier, hvor den person, der står øverst på listen, ikke kan nås. Planen skal kunne bruges af den, der tilfældigvis er på arbejde den dag.
De første timer: hvad I gør, og hvad I ikke gør
Det vigtigste i starten er at stoppe spredningen uden at ødelægge sporene.
- Isolér de ramte maskiner. Tag netværkskablet ud, eller slå Wi-Fi fra. Sluk ikke maskinerne, hvis det kan undgås, for der kan være spor i hukommelsen, som er nyttige for en efterforskning.
- Kontakt jeres IT-partner eller sikkerhedsleverandør med det samme. Brug telefon, ikke mail, hvis mailsystemet kan være ramt.
- Afbryd forbindelsen til backup. Er der backup, der stadig er forbundet til netværket, skal den kobles fra, så den ikke også bliver krypteret.
- Nulstil adgang for administratorer. Angribere bruger ofte stjålne administratorkonti. Skift adgangskoder fra en maskine, I ved er ren.
- Kontakt jeres forsikringsselskab. Har I en cyberforsikring, kræver den ofte, at I ringer, før I selv sætter en genopretning i gang.
- Før log. Skriv ned, hvad der sker, hvornår og hvem der gør hvad. Det bruges både til forsikring, politi og eventuelle anmeldelser.
Det, I ikke skal gøre: slette krypterede filer, geninstallere maskiner, før der er taget en beslutning om efterforskning, eller kontakte angriberne på egen hånd.
Den vigtigste linje i planen er et telefonnummer. Når skærmene er låst, og mailen er nede, er der kun én ting, der virker: at alle ved, hvem de skal ringe til, og at nummeret står på papir.
Anmeldelser og kommunikation
Et ransomwareangreb er en forbrydelse og bør anmeldes til politiet. Er der persondata involveret, og det er der næsten altid, skal I som udgangspunkt anmelde bruddet til Datatilsynet inden for 72 timer efter, at I er blevet opmærksomme på det. Er jeres virksomhed omfattet af NIS2, gælder der desuden særlige frister for underretning af myndighederne. Skriv på forhånd ind i planen, hvem der har ansvaret for hver anmeldelse.
Kommunikation til medarbejdere skal være kort og konkret: hvad er sket, hvad må de gøre og ikke gøre, og hvornår kommer der næste opdatering. Til kunder og samarbejdspartnere er ærlighed bedre end tavshed, men lad én person stå for det, så der ikke går forskellige historier rundt.
Genopretning: backup er kun halvdelen
Ransomware rammer ofte backup, der ligger på samme netværk. En backup, der skal overleve et angreb, skal være adskilt: enten offline, i en cloud-tjeneste, hvor data ikke kan slettes eller ændres i en periode, eller begge dele. Læs mere om, hvordan backup og gendannelse kan sættes op, så den også holder, når angriberen har administratoradgang.
Planen skal også sige, hvilken rækkefølge systemerne gendannes i. Et eksempel for en handelsvirksomhed:
- Først: identitet og adgang (Entra ID eller Active Directory), så ingen kan logge ind med stjålne konti.
- Dernæst: mail og telefoni, så I kan kommunikere.
- Så: økonomi og ordresystem, så I kan fakturere og levere.
- Til sidst: fildrev, arkiver og mindre vigtige systemer.
Et realistisk eksempel
En produktionsvirksomhed med 35 ansatte bliver ramt en søndag nat. Mandag kl. 6.30 ringer værkføreren til nummeret på den laminerede seddel ved døren til kontoret. IT-partneren isolerer serverne på afstand, beder medarbejderne tage kablerne ud af de pc'er, der viser løsesedlen, og kontakter direktøren. Forsikringen bliver ringet op kl. 7.15, politiet får en anmeldelse samme formiddag, og Datatilsynet får en foreløbig anmeldelse dagen efter.
Backup i skyen med uforanderlige kopier er intakt. Identitet og mail er oppe tirsdag, ordresystemet onsdag. Uden planen ville de første timer være gået med at finde ud af, hvem der skulle ringe til hvem.
Test planen mindst én gang om året
En plan, der aldrig er afprøvet, holder sjældent. Afsæt to timer til en skrivebordsøvelse, hvor ledelse og IT gennemgår et tænkt angreb trin for trin. I finder hurtigt de huller, der ikke ses på papiret: et nummer, der ikke virker længere, en person, der er stoppet, eller en backup, som ingen ved, hvordan man gendanner.
Overvågning mindsker også skaden. Med SOC-overvågning bliver usædvanlig aktivitet opdaget og stoppet, ofte før krypteringen når at starte. Vil I se, hvordan overvågning, backup og beredskab hænger sammen, kan I læse om vores tilgang til beskyttelse mod nedetid, eller sende os jeres nuværende plan til en gennemgang.
Apply-redaktionen
IT-sikkerhed