الساعات الأولى لهجوم برمجية الفدية، ترتيب العمل في اليوم الأول

أين تبدأ هذه الصفحة وأين تنتهي

لأي تعطل بروتوكول واحد للساعة الأولى، تتأكدون ثم تصنفون ثم تفعلون فريق إدارة الأزمات وتفتحون سجل القرارات، وقد شرحناه في صفحة الدقائق الستون الأولى من الأزمة ولا نكرره هنا. ما يلي مخصص لما يميز التشفير عن سائر الأعطال، لأن الفدية تنفرد بأربع خصائص تقلب ترتيب العمل. أولاها أن الضرر يتسع ما دامت الشبكة موصولة، فالتأخر هنا ليس انتظارا بل خسارة تضاف كل دقيقة. وثانيتها أن أدوات إدارة الحادث نفسها قد تكون داخل ما جرى تشفيره، من قوائم الاتصال إلى خطة الاستمرارية ذاتها. وثالثتها أن كل إصلاح متسرع يمحو الأدلة التي سيطلبها المؤمن والمستشار القانوني وربما جهة تنظيمية. ورابعتها أن أمامكم خصما يقرأ ما تكتبونه إن كان بريدكم في يده. أما الاكتشاف فنادرا ما يأتي إنذارا نظيفا، بل خادم يتصرف بغرابة أو مجلد مشترك يصبح غير مقروء أو مورد يبلغ عن رسالة غريبة من نطاقكم، ثم تتجمد الأنظمة واحدا بعد آخر ولا أحد متأكد مما بقي يعمل.

القرارات الخمسة التي تحدد حجم الخسارة

هذه القرارات لا تحتمل اجتماعا يشكل عند وقوع الحادث، فكل واحد منها يحتاج اسما وصلاحية مكتوبة ونائبا. اكتبوها اليوم في جدول من خمسة أسطر، وستكتشفون أن الخلاف عليها في وقت السلم يستغرق ساعتين، بينما الخلاف نفسه في يوم الحادث يستغرق نصف يوم ويكلف ما لا يقاس.

الأخطاء التي تضاعف الكلفة

• انتظار اليقين قبل العزل. التشفير يواصل انتشاره بينما يتشكل الاجتماع الذي سيقرر. قرار العزل يشترى سلفا بصلاحية مكتوبة، أو يدفع ثمنه لاحقا اتساعا في نطاق الضرر.
• الاستعادة قبل الحفظ. مسح الأنظمة وإعادة بنائها بسرعة يبدد الأدلة التي سيطلبها المؤمن والمحامون وأي جهة تنظيمية، وقد يعيد معها تثبيت وصول المهاجم من حيث لا تدرون.
• الثقة بنسخ لم تختبر بالاستعادة. أسوأ لحظة لاكتشاف أن النسخة الاحتياطية لا تستعاد هي اللحظة التي تحتاجونها فيها. المختبر بالاستعادة وحده هو المختبر، وما عداه جدول مهام ناجح لا أكثر. هذه هي الحدود العملية لهدف نقطة الاستعادة.
• الصمت تجاه العملاء. ساعات الصمت تكلف من الثقة أكثر مما يكلفه الحادث نفسه. بيان أولي قصير خلال الساعات الأولى، حتى لو لم يحمل تفاصيل، يبقي العلاقة قابلة للاستمرار.
• تواصل تفاوضي مرتجل. أي اتصال بالمهاجمين، إن حدث أصلا، عمل مختصين ومستشار قانوني لا عمل مدير المناوبة الليلية. والمفاضلة نفسها بين الدفع والتعافي بحثناها في صفحة مستقلة (بالإنجليزية).

بطاقة الساعات الأولى، صفحة واحدة تعمل بلا شبكة

أكثر ما ينفع في ذلك اليوم ليس مجلدا من مئة صفحة بل ورقة واحدة، لأن الخطة الكاملة قد تكون داخل الشبكة المشفرة، ولأن أحدا لن يقرأ سياسة في الثانية صباحا. البطاقة تكلف ورشة عمل واحدة، وقيمتها يوم الحادث هي الفرق بين حادث وكارثة، وينبغي أن تحمل ما يلي.

• القرارات الخمسة، ولكل قرار صاحب مسمى ونائب ورقم هاتف يعمل خارج الدوام.
• عتبة إعلان الحادث مكتوبة برقم، لا بعبارة «عندما يصبح الوضع خطيرا».
• أرقام المؤمن والمستشار القانوني وفريق الاستجابة الخارجي إن وجد.
• موضع النسخ الاحتياطية غير المتصلة، ومن يملك صلاحية استعادتها.
• ثلاثة أسطر لما لا يفعل، ومنها الاستعادة قبل حفظ الأدلة والرد على المهاجمين.

تطبع البطاقة وتغلف وتوضع في ثلاثة مواقع لا تعتمد على شبكتكم، ونسخة منها في هاتف كل صاحب دور. والاختبار الوحيد المعتبر لها أن تجربوها في تمرين نظري ثم تعدلوا ما لم يعمل. وبنية الوثيقة الأم التي تنزل منها البطاقة شرحناها في صفحة أقسام خطة استمرارية الأعمال.

الطبقة الإماراتية، ساعات قانونية تعمل بالتوازي

في الإمارات يحمل الحادث ساعات قانونية إلى جانب الساعات التشغيلية، وهي لا تنتظر انتهاء عملكم التقني. هناك التزامات تتصل باختراق البيانات الشخصية، وتوقعات إخطار قطاعية تختلف بحسب نشاطكم، ومنها للمؤسسات المالية إخطار العملاء الفوري وفق إطار المصرف المركزي، ثم معايير أدلة سيطبقها مؤمنكم وقد تطبقها السلطات حيث ينطبق الأمر. والنقطة الحاسمة أن الساعة تبدأ عند الاكتشاف لا عند اجتماعكم الأول، ولذلك يوضع مسار قرار الإخطار داخل الخطة وعليه رقم المستشار القانوني، ويقرر مسبقا من يملك صلاحية إطلاقه. أما التزامات الاستمرارية العامة التي تحكم هذا كله فمجموعة في صفحة استمرارية الأعمال في الإمارات، ومتطلبات المعيار الوطني في صفحة NCEMA 7000.

ثلاثة أسئلة تحسم قبل الحادث لا بعده

1. هل نتصل بالسلطات ومتى. جهزوا الجواب مع المستشار القانوني قبل الحادث، أي إخطارات إلزامية عليكم في حماية البيانات وعند المنظمين القطاعيين، وأيها مستحسن، ومن يملك اتخاذ القرار. الجواب الخاطئ الوحيد هو اكتشاف الالتزام بعد فوات موعده، لأن المساءلة عن التأخير تقع على المجلس لا على من كان يصلح الخوادم.
2. متى نشرك المؤمن. مبكرا. معظم بوالص التأمين السيبراني تشترط إخطارا فوريا وبعضها يحدد مستجيبين معتمدين لا يغطي غيرهم، والإخطار المتأخر سبب كلاسيكي لنزاعات التغطية. لذلك يوضع خط المؤمن الساخن على بطاقة الساعات الأولى لا في ملف المشتريات.
3. هل نحتاج عقد استجابة خارجي مسبق. من الحجم المتوسط فصاعدا يقصر المستجيب المتفق عليه سلفا أسوأ يوم لديكم بشكل ملموس، فلا مشتريات في أثناء الأزمة، والأسعار معروفة، والفريق يعرف بيئتكم. وكحد أدنى، احتفظوا بقائمة مختصرة وقالب عقد جاهز للتوقيع، وتذكروا أن هذا الترتيب مكمل لخطة التعافي التقني لا بديل عنها.