Technologie: Jak przygotować organizacje na czas cyberkryzysu … Rozważania o zarządzaniu kryzysowym

Adam Marczyński
dyrektor Departamentu Bezpieczeństwa Biura Informacji Kredytowej S.A.

Jak przetrwać cyberkryzys?

Pięć lat temu, w 2012 r. na konferencji RSA Cyber Security były dyrektor FBI Robert Mueller powiedział: „Jestem przekonany, że istnieją wyłącznie dwa rodzaje organizacji: te, które już zostały zhackowane i te, które będą. Co więcej, obecnie następuje ich konwergencja w jedną kategorię: organizacji, które już zostały zhackowane, i które czeka to samo po raz kolejny”.

Czy pan Mueller miał rację? Sądzę, że może jego słowa były przesadzone, ale stanowią dobry punkt wyjścia dla rozważań o zarządzaniu kryzysowym. Przyjmijmy zatem założenie, że kryzys musi się zdarzyć, to tylko kwestia czasu, kiedy do niego dojdzie.

Od działania przed do działania po kryzysie

Zanim przejdziemy do rozważań, jak powinniśmy reagować na kryzys, warto przyjrzeć się, w jaki sposób obecnie chronimy nasze organizacje.

Specjaliści od bezpieczeństwa od wielu lat poświęcają uwagę zabezpieczeniom, które mają przeciwdziałać bardzo szeroko pojętym incydentom. Większość z nich pełni rolę czysto prewencyjną – nie wpływając na skutki zdarzenia, lecz zmniejszając prawdopodobieństwa jego wystąpienia. Przykładem takich zabezpieczeń są choćby wszelkiego rodzaju urządzania chroniące przed atakami sieciowymi. Firewall, Web Application Firewall, Intrusion Prevention System, Data Leakage Prevention – wszystkie te rozwiązania mają zapobiegać nieuprawnionemu dostępowi do chronionych systemów, przeciwdziałając atakom i uniemożliwiając kradzież informacji, stanowiąc swoistą pierwszą linię ochrony przed potencjalnymi przeciwnikami.

Drugi koniec spektrum zabezpieczeń, którymi posługujemy się, chroniąc nasze systemy i przetwarzane w nich informacje, skupia się na skutkach incydentów, pozwalając na przywrócenie stanu systemu sprzed niekorzystnego zdarzenia. Najbardziej oczywistym przykładem jest kopia zapasowa, która umożliwia odtworzenie systemów i danych w przypadku ich utraty.

Specjaliści od bezpieczeństwa często nieświadomie skupiają się na obszarach prewencji i odtwarzania (przywracania normalności), mniej czasu poświęcając na działania w czasie samego kryzysu. Tymczasem, w mojej opinii, w dzisiejszych czasach, nie zaniedbując powyższych, trzeba przesuwać ciężar na reakcję na incydenty i zarządzanie kryzysowe.

Przygotowujmy się na nieoczekiwane, ćwiczmy scenariusze kryzysowe, ale nie mnóżmy ich w nieskończoność. Najprawdo­podobniej to co nas spotka i tak będzie zaskoczeniem i raczej nie zastosujemy naszych planów bez konieczności zaktualizowania ich do stanu faktycznego kryzysu.

Przygotowania na nieoczekiwane

Skoro przyjmujemy założenie, że do kryzysu musi dojść, zastanówmy się, jak się do niego przygotować. Czy każde zdarzenie, każdy incydent doprowadzi do kryzysu? Raczej nie. Warto więc rozpocząć od zdefiniowania, czym różni się sytuacja kryzysowa od innych incydentów. Kryzys zazwyczaj charakteryzuje się takimi cechami, jak:

• zdarzenie materializuje się nieoczekiwanie (może być nagłe lub wskutek długotrwałych zaniechań),
• brakuje informacji pozwalających na pełną ocenę sytuacji,
• pomimo braku czasu i informacji istnieje potrzeba podejmowania szybkich decyzji w oparciu o niekompletny ogląd sytuacji,
• pojawia się presja szybkiego działania, brakuje czasu na rozważne i świadome podejmowanie wyważonych działań,
• napięcie rośnie wraz z czasem i rozwojem sytuacji kryzysowej,
• pojawia się wiele żądań informacji, zarówno wewnętrznych, jak i zewnętrznych, od mediów i interesariuszy organizacji,
• nasza reputacja cierpi w wyniku
• pojawiają się naciski, by znaleźć winnego kryzysu,
• sytuacją i podejmowanymi działaniami interesują się najwyższe władze organizacji, a w niektórych przypadkach również służby i organy władzy państwowej.

Wszystkie powyższe cechy powodują, że praca w czasie kryzysu jest obarczona wyjątkowym stresem, bardzo dużą dozą niepewności co do poprawności podejmowanych decyzji i skutków działań, które realizujemy w celu zażegnania kryzysu.

Zarządzanie kryzysowe to skoordynowane działania podejmowane przez organizację w celu opanowania sytuacji oraz przywrócenia normalnego działania z minimalizacją wpływu na reputację jej samej oraz potencjalnych negatywnych skutków odczuwanych przez wszystkich interesariuszy. Widać zatem, że do sytuacji kryzysowej trzeba się starannie przygotować. Warto mieć na uwadze, że nasze przygotowania i plany ...