Ciągłość działania (BCP/DR) w erze cyberataków: Jak przetrwać katastrofę typu ransomware?

Zarządzanie ciągłością działania (Business Continuity Management, BCM) to dojrzała dyscyplina biznesowa, której celem jest zapewnienie, że organizacja jest w stanie przetrwać i kontynuować działalność w obliczu katastrofy. Przez lata, plany ciągłości działania (BCP) i odtwarzania po awarii (DR) były tworzone z myślą o scenariuszach fizycznych: pożarze serwerowni, powodzi, długotrwałej awarii zasilania czy pandemii. W każdym z tych przypadków, fundamentalne założenie było takie samo: infrastruktura uległa zniszczeniu, ale nasze dane, bezpieczne w zapasowej lokalizacji lub na taśmach backupowych, są nienaruszone i godne zaufania.

Jednak cyberataki, a w szczególności ransomware, całkowicie wywracają ten model do góry nogami. Cyberatak to nie jest bezmyślny żywioł. To inteligentny, złośliwy przeciwnik, którego celem jest nie tylko zniszczenie infrastruktury produkcyjnej, ale również świadome i celowe zniszczenie zdolności firmy do jej odtworzenia. Atakujący aktywnie polują na serwery kopii zapasowych, aby je zaszyfrować lub usunąć, pozbawiając ofiarę ostatniej deski ratunku. To fundamentalna zmiana, która sprawia, że tradycyjne plany BCP/DR, oparte na założeniu o integralności backupów, stają się w obliczu cyberataku bezużyteczne. Czas napisać je na nowo.

Czym jest zarządzanie ciągłością działania (BCM) i jakie są jego kluczowe elementy (BCP, DR)?

Zarządzanie ciągłością działania (Business Continuity Management, BCM) to całościowy proces zarządczy, który ma na celu identyfikację potencjalnych zagrożeń dla organizacji i ich wpływu na operacje biznesowe. Na tej podstawie buduje on ramy dla zwiększenia odporności i zdolności do skutecznej reakcji, która chroni interesy kluczowych interesariuszy, reputację, markę i działania tworzące wartość.

BCM składa się z kilku kluczowych, powiązanych ze sobą elementów:

• Analiza wpływu na biznes (Business Impact Analysis, BIA): Proces identyfikacji krytycznych procesów biznesowych i skutków ich zakłócenia w czasie.
• Ocena ryzyka (Risk Assessment): Identyfikacja i analiza zagrożeń, które mogą prowadzić do tych zakłóceń.
• Plan ciągłości działania (Business Continuity Plan, BCP): Dokument, który opisuje, jak organizacja będzie kontynuować swoje krytyczne funkcje biznesowe podczas i po katastrofie. Koncentruje się on na ludziach, procesach i alternatywnych sposobach pracy (np. praca z zapasowego biura).
• Plan odtwarzania po awarii (Disaster Recovery Plan, DR Plan): Jest to techniczny podzbiór BCP, który koncentruje się na odtworzeniu infrastruktury IT i danych po katastrofie.

Tradycyjnie, BCP odpowiadał na pytanie „jak biznes ma przetrwać?”, a DR na pytanie „jak IT ma to umożliwić?”. W erze cyberataków ta granica się zaciera.

Dlaczego tradycyjne plany BCP/DR, stworzone z myślą o awariach fizycznych, są niewystarczające w obliczu cyberataków?

Tradycyjne plany ciągłości działania opierają się na kilku fundamentalnych założeniach, które w scenariuszu cyberataku okazują się błędne i niebezpieczne.

Po pierwsze, zakładają one integralność danych i kopii zapasowych. W przypadku pożaru, nikt nie kwestionuje, czy backupy na taśmach w zapasowej lokalizacji są „czyste”. W przypadku ataku ransomware, jest to pytanie numer jeden. Atakujący często miesiącami pozostają w sieci przed zaszyfrowaniem danych (długi „dwell time”), co oznacza, że nasze kopie zapasowe z ostatnich tygodni lub miesięcy mogą również zawierać złośliwe oprogramowanie lub backdoory. Odtworzenie systemu z zainfekowanego backupu to prosta droga do natychmiastowej, ponownej infekcji.

Po drugie, traktują one katastrofę jako pojedyncze, zakończone zdarzenie. Pożar wybucha, niszczy i gaśnie. Cyberatak jest zdarzeniem ciągłym i dynamicznym. Nawet po odizolowaniu pierwszych zainfekowanych systemów, inteligentny przeciwnik wciąż może być aktywny w innych częściach sieci, adaptować swoje taktyki i aktywnie przeciwdziałać próbom odtworzenia systemów.

Po trzecie, koncentrują się one na odtworzeniu, a nie na dochodzeniu. W przypadku awarii sprzętu, celem jest jak najszybsze przywrócenie działania. W przypadku cyberataku, pochopne odtwarzanie systemów może zniszczyć kluczowe dowody cyfrowe, uniemożliwiając zrozumienie, jak doszło do ataku, jaki był jego zakres i jak zapobiec jego powtórzeniu.

Jak zintegrować plan reagowania na incydenty (IR) z planem ciągłości działania (BCP)?

W erze cyberataków, procesy reagowania na incydenty (IR) i ciągłości działania (BCP/DR) nie mogą już istnieć jako dwa oddzielne, niezależne plany. Muszą one zostać zintegrowane w jeden, spójny i nadrzędny plan zarządzania kryzysowego. Kluczem do tej integracji jest zrozumienie, że w przypadku cyberataku, sekwencja działań ulega odwróceniu.

W tradycyjnym modelu, proces DR był uruchamiany jako pierwszy, aby jak najszybciej przywrócić systemy. W scenariuszu cybernetycznym, proces IR musi zawsze poprzedzać i informować proces DR. Nie można rozpoczynać odtwarzania, dopóki zespół reagowania na incydenty (CSIRT) nie zakończy kluczowych faz swojej pracy:

1. Powstrzymanie (Containment): Zespół IR musi najpierw upewnić się, że atak został w pełni powstrzymany, a atakujący nie ma już aktywnego dostępu do żadnej części sieci.
2. Dochodzenie (Investigation): Zespół IR musi zidentyfikować wektor ataku (jak doszło do włamania), zakres kompromitacji (które systemy zostały dotknięte) oraz upewnić się, że wszystkie backdoory i mechanizmy persystencji atakującego zostały znalezione.
3. Weryfikacja kopii zapasowych: Zespół IR musi przeanalizować kopie zapasowe, aby zidentyfikować ostatni „czysty” i godny zaufania punkt przywracania, który powstał przed momentem pierwotnej kompromitacji.

Dopiero po zakończeniu tych działań i otrzymaniu „zielonego światła” od zespołu IR, można bezpiecznie uruchomić procedury z planu odtwarzania po awarii (DR).

Na czym polega analiza wpływu na biznes (BIA) i jak pomaga zdefiniować priorytety?

Analiza wpływu na biznes (Business Impact Analysis, BIA) to fundamentalny proces, który leży u podstaw każdego dojrzałego planu ciągłości działania. Jej celem jest identyfikacja i ocena potencjalnych skutków zakłócenia krytycznych procesów biznesowych. Mówiąc prościej, BIA odpowiada na pytanie: „Co jest dla nas naprawdę ważne i jak bardzo zaboli nas, jeśli przestanie to działać?”.

Proces BIA polega na zmapowaniu wszystkich kluczowych procesów w firmie (np. produkcja, sprzedaż, obsługa klienta, fakturowanie), a następnie określeniu dla każdego z nich:

• Zależności: Od jakich systemów IT, ludzi i dostawców zależy ten proces?
• Wpływ awarii: Jakie będą konsekwencje (finansowe, reputacyjne, prawne) niedostępności tego procesu po godzinie, dniu, tygodniu?

Wyniki analizy BIA pozwalają na obiektywne uszeregowanie procesów i systemów według ich krytyczności. To z kolei jest podstawą do zdefiniowania dwóch kluczowych wskaźników dla planu DR: RTO (Recovery Time Objective) i RPO (Recovery Point Objective).

Jakie znaczenie w kontekście cyberataków mają wskaźniki RTO i RPO?

RTO (Recovery Time Objective) i RPO (Recovery Point Objective) to dwa najważniejsze wskaźniki, które definiują cele i wymagania dla strategii odtwarzania po awarii.

• RTO (Celowany Czas Odzyskania): Określa maksymalny, akceptowalny czas, w jakim dany system lub proces biznesowy musi zostać odtworzony po katastrofie, aby uniknąć niedopuszczalnych strat. RTO na poziomie 2 godzin dla krytycznego systemu e-commerce oznacza, że musi on wrócić do działania w ciągu 2 godzin od momentu awarii.
• RPO (Celowany Punkt Odzyskania): Określa maksymalną, akceptowalną ilość utraconych danych, mierzoną w czasie. RPO na poziomie 15 minut oznacza, że w razie awarii, firma akceptuje utratę danych z maksymalnie ostatnich 15 minut przed katastrofą. W praktyce, RPO determinuje, jak często muszą być wykonywane kopie zapasowe.

W kontekście cyberataków, te wskaźniki stają się jeszcze ważniejsze. Scenariusz ransomware może znacząco wydłużyć realny czas odzyskania, ponieważ dochodzi do niego czas potrzebny na dochodzenie i weryfikację backupów. Dlatego podczas planowania, firmy muszą uwzględnić ten „bufor” i zastanowić się, czy ich biznes jest w stanie przetrwać znacznie dłuższy przestój, niż zakładał to tradycyjny plan DR.

Jak zaprojektować strategię kopii zapasowych odporną na ataki ransomware (reguła 3-2-1, kopie immutable)?

W walce z ransomware, strategia kopii zapasowych jest ostatnią i najważniejszą linią obrony. Musi ona być zaprojektowana przy założeniu, że atakujący będzie aktywnie próbował ją zniszczyć.

Podstawą jest sprawdzona w boju reguła 3-2-1:

• 3 kopie danych: Posiadaj co najmniej trzy kopie swoich danych (jedna produkcyjna i dwie zapasowe).
• 2 różne nośniki: Przechowuj kopie na co najmniej dwóch różnych typach nośników (np. dysk i taśma, lub dysk i chmura).
• 1 kopia offline/offsite: Przechowuj co najmniej jedną kopię w innej lokalizacji fizycznej (offsite) i, co absolutnie kluczowe, w trybie offline lub air-gapped (fizycznie odłączoną od sieci).

W erze ransomware, reguła ta ewoluuje. Kluczowe staje się wykorzystanie technologii kopii niezmienialnych (immutable backups). Są to kopie zapasowe, które po zapisaniu, dzięki specjalnym mechanizmom na poziomie storage’u lub usługi chmurowej, nie mogą zostać zmodyfikowane ani usunięte (nawet przez administratora) przez z góry określony czas. Nawet jeśli atakujący przejmie pełną kontrolę nad serwerem backupu, nie będzie w stanie zaszyfrować ani skasować takich niezmienialnych kopii, co gwarantuje możliwość odtworzenia danych.

W jaki sposób nFlo pomaga organizacjom w budowie i testowaniu planów BCP/DR odpornych na cyberataki?

W nFlo rozumiemy, że nowoczesne zarządzanie ciągłością działania musi być nierozerwalnie zintegrowane ze strategią cyberbezpieczeństwa. Nasze podejście polega na budowaniu mostów między tymi dwoma, często odizolowanymi, światami i tworzeniu spójnych, odpornych na cyberataki planów zarządzania kryzysowego.

Pomagamy naszym klientom w modernizacji i integracji ich istniejących planów BCP/DR. Przeprowadzamy analizę luk, wskazując, w których miejscach tradycyjne plany są niewystarczające w obliczu zagrożeń takich jak ransomware. Facylitujemy proces integracji planu reagowania na incydenty (IR) z planem ciągłości działania, tworząc jedną, spójną procedurę, w której działania zespołu bezpieczeństwa i zespołu IT są w pełni zsynchronizowane. Naszą unikalną wartością jest projektowanie i wdrażanie odpornych technicznie architektur odtwarzania. Posiadamy głęboką wiedzę w zakresie projektowania strategii kopii zapasowych, które wykorzystują segmentację, kopie offline i technologie niezmienialne (immutable storage), aby zapewnić, że dane przetrwają nawet najbardziej zaawansowany atak. Co najważniejsze, nie tylko pomagamy napisać plany, ale przede wszystkim pomagamy je przetestować. Przeprowadzamy realistyczne ćwiczenia symulacyjne typu table-top, podczas których Twój zespół zarządzania kryzysowego musi zmierzyć się ze scenariuszem katastrofalnego ataku ransomware, weryfikując w praktyce skuteczność i kompletność przygotowanych procedur.