I takt med att intrång blir en del av den dagliga verksamheten, hur har samtalet utvecklats och vad avslöjar de senaste incidenterna om bra – och dålig – incidenthantering?
Redan för så lite som fem år sedan granskades ett företag som drabbats av ett dataintrång intensivt, inklusive månader av granskning av hur och varför attacken hade inträffat – särskilt om känsliga uppgifter exponerades.
Även om denna nivå av granskning fortfarande förekommer, är det nu allmänt accepterat att cyberattacker kommer att äga rum, särskilt riktade mot högprofilerade företag. Detta var alltför tydligt nyligen när företag som Coca-Cola , Ernst & Young , Craneware och Abbott alla erkände cyberincidenter med några månaders mellanrum.
Utöver själva intrånget visar dessa avslöjanden inom flera branscher under en kort period en större trend. I takt med att cyberincidenter blir svårare att förebygga, granskar kunder, tillsynsmyndigheter och partners i större utsträckning hur organisationer reagerar, återhämtar sig och kommunicerar när något går fel.
Hur har samtalet utvecklats och vad avslöjar de senaste intrången om bra – och dålig – incidenthantering?
Ändrade förväntningar
Förväntningarna kring cyberincidenter har förändrats. För ett decennium sedan bedömdes organisationer i stor utsträckning utifrån om de drabbades av ett dataintrång överhuvudtaget. Idag förstår intressenter att ”ingen organisation är immun”, säger Doug Jewitt, säkerhetskonsult på Infinity Group.
Han beskriver hur fokus har skiftat till hur snabbt en organisation identifierar en incident, hur transparent den reagerar och hur effektivt den återställer. ”Det finns en tydlig förväntan att organisationer av alla storlekar har lämpligt dimensionerade tekniska kontroller på plats.”
De senaste avslöjandena som rör Coca-Cola, Ernst & Young, Craneware och Abbott visar att ”snabb och innehållsrik kommunikation” kan mildra intressenternas reaktioner, säger Tracey Hannan-Jones, konsultchef för informationssäkerhet på UBDS Group. ”Tystnad, förseningar eller vaga uttalanden inbjuder till spekulationer och orsakar ofta ryktesskador som inte står i proportion till den tekniska incidenten. En organisation som inte kan förklara vad som hände, vad den gör och vad som förblir okänt signalerar att den var oförberedd.”
Skillnaden mellan ett bra och dåligt svar handlar om ”synlighet och sammanhang”, säger Jeremy Leasher, säkerhetsarkitekt på Binalyze. Han anser att den senaste attacken mot vårdorganisationen Stryker är ett tydligt exempel på var saker kan gå fel.
"Det första uttalandet antydde att det inte fanns någon ransomware eller skadlig kod, och att incidenten var begränsad", berättar Leasher för IO.
Tekniskt sett var detta korrekt, men när det visade sig att attacken kom via ett betrott administratörsverktyg snarare än skadlig kod spelade det ingen roll, säger Leasher. ”Strategiskt sett såg det ut som att Stryker inte förstod hotet.”
Tillsynsmyndighetsroller
Samtidigt spelar tillsynsmyndigheter nu en viktig roll i att utforma incidenthantering, inklusive förväntningar kring rapportering och offentliggörande.
Den allmänna uppdateringen av Storbritanniens dataskyddsförordning ( GDPR ) kräver att personuppgiftsöverträdelser rapporteras inom 72 timmar, medan Financial Conduct Authority , EU:s nätverks- och informationssystemdirektiv nr 2 och den amerikanska finansinspektionen Securities and Exchange Commission inför ytterligare anmälningsskyldigheter. ”Tillsynsmyndigheter bedömer i allt högre grad inte bara om anmälan har skett, utan även dess hastighet, kvalitet, noggrannhet och uppföljning”, säger Hannan-Jones från UBDS Group.
En av de största praktiska konsekvenserna är timing, säger David Dumont, partner på Hunton. Han påpekar att många rapporteringsskyldigheter har mycket korta tidsfrister. ”Så organisationer kan behöva lägga ner avsevärd tid och resurser på att bedöma anmälningskrav och förbereda tillsynsmyndighetsformulär nästan omedelbart efter att de blivit medvetna om en incident, ofta medan fakta fortfarande utvecklas.”
Samtidigt har tillsynsmyndigheten själv en allt viktigare roll att spela, säger Freeths dataexpert Paul Wiggins. Han påpekar att enligt lagen om dataanvändning och åtkomst har den brittiska informationskommissionären (ICO) starkare verkställighetsbefogenheter. ”Det förväntas att ICO kommer att fungera som en reglerande grindvakt, med förhoppningen att detta kommer att ge lösningar för anspråk av lågt värde”, säger han till IO.
Hastighet, transparens och noggrannhet
Medan attacker fortsätter att drabba företag, tror många experter att företag blir bättre på att hantera cyberincidenter. Dray Agha, senior manager för säkerhetsoperationscenter i EMEA på Huntress, säger att saker och ting förbättras till stor del på grund av att det historiska stigmat kring ett dataintrång håller på att blekna. ”Företag inser att incidenter är en 'när, inte om'-verklighet, vilket gör att de kan rikta sin energi bort från att dölja problemet och mot att minimera driftstopp.”
Det är nu viktigt att organisationer hittar balansen mellan snabbhet, transparens och noggrannhet under en incident.
Att reagera väl på ett dataintrång kräver flera viktiga steg. Att ha rätt policyer och team på plats för att "återgå till handling när tiden är inne" är avgörande, säger Freeths Wiggins.
Han betonar vikten av ett team med externa rådgivare – såsom advokater, PR-agenter och cyberförsäkringsbolag – vilket han anser är ”grundläggande” för att utforma strategin och responsen på en incident. ”Dessutom en vilja att hjälpa till att lugna och stödja berörda registrerade, samt att samarbeta med partners i leveranskedjan som känner av händelsens dominoeffekter.”
De organisationer som reagerar bäst på ett dataintrång har planerat i förväg, säger Binalyzes Leasher.
I grund och botten anser han att de borde kunna svara snabbt på de tre grundläggande frågorna: ”Har angriparen fortfarande tillgång? Hur tog de sig in? Vad tog de?”
Kommunikation och transparens är avgörande och kan vara ”skillnaden mellan att en cyberincident blir en affärsutmaning eller en rykteskris”, påpekar Jewitt från Infinity Group. ”Kunder, partners och tillsynsmyndigheter förstår att utredningar tar tid, men de förväntar sig ärlighet, snabba uppdateringar och tydliga förklaringar av vad som är känt, vad som fortfarande utreds och vilka åtgärder som vidtas.”
Nyckeln är att ”kommunicera vad du vet, erkänna vad du inte vet och åta dig att regelbundet uppdatera”, säger Jewitt. ”Att vänta på perfekt information kan försena viktiga beslut, men att dra förhastade slutsatser kan skada förtroendet.”
Stark styrning
Stark styrning ligger till grund för effektiv incidenthantering. Detta innebär att säkerställa tydligt ansvarstagande, etablerade processer och välgrundat beslutsfattande innan en kris inträffar.
Stark styrning säkerställer att beslut kan fattas snabbt och säkert under en kris, säger Jewitt. ”Tydligt ägarskap, etablerade eskaleringsvägar och väl förstådda ansvarsområden eliminerar osäkerhet när tiden räknas som mest. Organisationer som investerar i styrning före en incident är vanligtvis bättre rustade att hantera regelkrav, intressentkommunikation och återhämtningsinsatser när en sådan inträffar.”
Stellar incidentrespons kan inte improviseras, säger Hannan-Jones från UBDS Digital. ”Upptäckt är viktigt, men snabb inneslutning är beroende av tydlig befogenhet och inövad samordning. Tekniska, juridiska, kommunikations- och ledningsgrupper måste arbeta tillsammans från början. Cyberincidenter som påverkar data, immateriella rättigheter eller verksamhet är affärshändelser, inte bara IT-problem. Synligt ägarskap på styrelsenivå är avgörande.”
ISO 27001 kan stärka beredskapen när den behandlas som ett operativt ramverk, men certifiering ensam är otillräcklig, säger Hannan-Jones. ”Otestade planer, dåligt förstådda ansvarsområden och IT-baserade övningar skapar falskt förtroende.”
Hon säger att effektiv motståndskraft vilar på fyra inövade förmågor: ”Upptäcka, begränsa, reagera och återhämta sig.”
Utöka din kunskap
Blogg: Varför cybermotståndskraft fortfarande är långt borta för många brittiska företag
Podcast: Styrelserum till breakroom – Att bygga en kultur av efterlevnad
Blogg: Hur kan säkerhetsteam förbereda sig för en postmytisk framtid?
