Держспецзв’язку затвердила Порядок здійснення заходів реагування у кризовій ситуації в кіберпросторі. Документ визначає, хто керує спільними діями під час масштабних кібератак і як учасники обмінюються інформацією, повідомили в РНБО. Ігор Смолянкін, Business Unit Leader у BAKOTECH і експерт із корпоративної кібербезпеки розповів SPEKA, що це змінює. Відповідно до нього реагування організовує постійно діюча Об’єднана група реагування на кіберінциденти, кібератаки та кіберзагрози. Вона працює у складі Національного координаційного центру кібербезпеки (НКЦК), робочого органу РНБО. Разом із нею працюють представники органів та організацій, які діють за Національним планом реагування на кіберінциденти. Схема проста. Кожен учасник відповідає за свою частину роботи в межах власних повноважень, а Об’єднана група узгоджує спільні кроки. Обмінюватися інформацією учасники мають безперервно, щоб усі бачили однакову картину. Публічні заяви про атаку і про вжиті заходи готують за правилами постанови Кабміну №1533; якщо інцидент створює ризик для систем країн ЄС, CERT-UA оперативно повідомляє іноземні та міжнародні організації.
Учасники групи передають МЗС дані про інцидент на запит або з власної ініціативи.Без такої координації важко обійтися, бо Україна вже посідала перше місце в Європі за кількістю кібератак, а лише державні органи фіксують понад 3000 кіберінцидентів за пів року.Ігор Смолянкін, Business Unit Leader у BAKOTECH і експерт із корпоративної кібербезпеки, головну користь документа бачить у чіткішій координації.Практична цінність затвердженого порядку полягає у тому, що тепер буде більш чітка координація державних команд і залучених організацій під час кібератак і під час кіберкриз. Водночас сам документ нічого не гарантує, наголошує він. Результат залежатиме від того, наскільки підготовлені учасники, як налагоджена координація і чи є заздалегідь продумані сценарії дій.Для керівників підприємств, особливо операторів критичної інфраструктури, новий порядок реагування на кіберкризи стає приводом перевірити власну готовність. Коли атака зачіпає критичні сервіси, учасникам потрібні: спільне розуміння ситуації, оперативний обмін достовірними даними; узгоджені дії. Результативність цього механізму залежатиме від того,
наскільки підготовлені його учасники, від ефективної координації і підготовчих сценаріїв дій. За словами Смолянкіна, варто наперед вирішити хто відповідальний і за яку ділянку, як залучати зовнішніх фахівців, хто ухвалює рішення, що впливають на роботу сервісів, наприклад хто підтверджує й надає доступ.Команда має розуміти, кому повідомляти про інцидент, які дані передавати та як підтримувати зв’язок, якщо корпоративна інфраструктура вже недоступна. Тут ключове – вірно налаштувати процеси. Крім процесів, експерт радить перевірити так звану технологічну готовність. Ось що варто з’ясувати:чи доступні журнали подій; чи можна відстежити дії адміністраторів і підрядників; чи можна контрольовано обмежити скомпрометований доступ та акаунти; чи вдасться швидко відновити критичні сервіси.Перевіряти ці механізми окремо один від одного мало сенсу. Смолянкін радить тестувати їх разом, з урахуванням дій людей і взаємодії між командами.Найнадійніше оцінити готовність допоможе спільне тренування за реалістичним сценарієм атаки, вважає експерт.Воно покаже, де дірки: де бракує повноважень, де – інформації або технічних можливостей. Ключовий результат такої підготовки – це здатність організації швидко оцінити вплив інциденту, стримати його поширення та повернути критичні послуги до роботи. Для українського бізнесу порядок реагування на кіберкризи означає, що в разі великої атаки держава діятиме за зрозумілою схемою. Але свою частину роботи компаніям доведеться підготувати самостійно, і краще зробити це до того, як щось станеться.
