Upravljanje kibernetičkim incidentima povrede osobnih podataka

1. Uvod

Povreda podataka je kibernetički incident koji rezultira izlaganjem povjerljivih, osjetljivih ili drugih zaštićenih informacija neovlaštenim osobama.

Počinitelji često ciljaju organizacije kako bi dobili pristup osobnim podatcima zaposlenika i klijenata ili korporativnim podatcima (intelektualno vlasništvo, financijski podatci).

Povrede podataka mogu biti posljedica različitih događaja vezanih uz kibernetičku sigurnost, poput zlonamjernih internih aktivnosti, napada socijalnim inženjeringom i iskorištavanja ranjivosti softvera. U isto vrijeme, sam učinak povrede podataka može uključivati ​​teške i dalekosežne posljedice.

Organizacije svih veličina, a posebno obrazovne ustanove, suočavaju se s rizikom od proboja podataka, ransomware napada, krađe identiteta (phishinga) i drugih oblika kibernetičkih incidenata. Bez jasno definiranih i uvježbanih procedura (politika) za upravljanje takvim incidentima, čak i manji sigurnosni propusti mogu imati ozbiljne posljedice od financijskih gubitaka i prekida poslovanja do narušavanja ugleda i povjerenja korisnika.

Zato je izgradnja procedura za upravljanje kibernetičkim incidentima ključna za pravovremeno otkrivanje, učinkovitu reakciju i ograničavanje štete. Dobro osmišljeni plan upravljanja kibernetičkim incidentima omogućuje organizaciji da brže odgovori, smanji negativne posljedice i zadovolji zakonske i regulatorne zahtjeve vezane za sigurnost i zaštitu podataka.

Slika 6.: Upravljanje sigurnosnim incidentima povrede osobnih podataka

2. Kibernetički incident

Definiranje kibernetičkog incidenta

Događaj je svaka vidljiva pojava u sustavu ili na mreži. Događaji uključuju povezivanje korisnika s dijeljenim datotekama, poslužitelj koji prima zahtjev web stranice, korisnik koji šalje e-poštu, vatrozid koji blokira pokušaj povezivanja i sl.

Neželjeni događaji su događaji s negativnom posljedicom, poput pada sustava, preplavljivanja paketa, neovlaštene upotrebe sustavnih privilegija, neovlaštenog pristupa osjetljivim podatcima, izvršavanja malwarea koji uništava podatke i sl.

Kibernetički incident je pojava koja stvarno ili potencijalno ugrožava povjerljivost, integritet ili dostupnost informacijskog sustava ili informacija koje sustav obrađuje, pohranjuje ili prenosi predstavlja kršenje ili neposrednu prijetnju kršenjem sigurnosnih politika, sigurnosnih procedura ili politika prihvatljive primjene. 
Izvor: National Institute of Standards and Technology – Computer Security Incident / Security Incident iz FIPS 200 i NIST SP 800‑12, SP 800‑128, SP 800‑137

Definicija kibernetičkog incidenta prema NIST-u upućuje na ugrožavanje jednog od tri ključna cilja informacijske sigurnosti ili CIA triade, a istu definiciju donosi i Zakon o kibernetičkoj sigurnosti RH:

Incident je događaj koji ugrožava dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih, prenesenih ili obrađenih podataka ili usluga koje mrežni i informacijski sustavi nude ili kojima omogućuju pristup.

Slika 7.:  Životni ciklus kibernetičkog incidenta

3. Povreda podataka

Povreda je podataka kibernetički incident koji rezultira izlaganjem povjerljivih, osjetljivih ili drugih zaštićenih informacija neovlaštenim osobama.

Počinitelji često ciljaju organizacije kako bi dobili pristup osobnim podatcima zaposlenika i klijenata ili korporativnim podatcima (intelektualno vlasništvo, financijski podatci).

Povrede podataka mogu biti posljedica različitih događaja vezanih uz kibernetičku sigurnost, poput zlonamjernih internih aktivnosti, napada socijalnim inženjeringom i iskorištavanja ranjivosti softvera. U isto vrijeme, sam učinak povrede podataka može uključivati ​​teške i dalekosežne posljedice.

4. Učinak povrede podataka

Financijski gubitak – prosječni gubitak zbog povrede podataka iznosio je 4,45 milijuna dolara u 2023., prema IBM-ovu Cost of a Data Breach Report 2023. (experiences of 604 organizations).

Slika 8.: Prikaz troška curenja podataka te logotipa stranice „information is beatiful“ 

Na poveznici prođite i analizirajte neke od najvećih gubitaka podataka.

Učinci povrede podataka

Nedostupnost podataka kao posljedica kibernetičkog napada označava situaciju u kojoj ovlašteni korisnici privremeno ili trajno ne mogu pristupiti podatcima zbog zlonamjernih radnji, poput šifriranja, brisanja ili prekida rada sustava.

Pravne posljedice – strane pogođene povredom podataka, ali i regulatorna tijela mogu pokrenuti tužbe koje vode do novčanih kazni.

Operativni „downtime” – kada dođe do povrede podataka, podatci mogu biti ukradeni, oštećeni ili šifrirani dok se ne plati otkupnina. Ako su neki od tih podataka ključni za vaše poslovne operacije, to može dovesti do poremećaja u poslovnoj produktivnosti, komunikaciji i pružanju usluga.

Reputacijska šteta – trenutačni i potencijalni klijenti sumnjaju u sigurnost vaše organizacije i sposobnost zaštite podataka, što može dovesti do gubitka poslovnih prilika, posebno kada se radi o povredi osjetljivih osobnih podataka.

5. Koraci u upravljanju računalno sigurnosnim incidentom povrede podataka

1. Priprema za incident povrede podataka

• provesti analizu rizika
• formirati tim za odgovor na incident
• pripremiti odgovarajuću programsku podršku (data breach response cybersecurity software)

threat detection and monitoring tools, data loss prevention systems, access management solutions, user and entity behavior analytics i sl.

• kreirati plan i politiku odgovora na incident povrede podataka
• provesti (provoditi) treninge osvješćivanja o kibernetičkoj sigurnosti

U prevenciji povrede podataka ključno je zaposlenike tretirati kao prvu liniju obrane. To se ponajprije postiže redovitom edukacijom.  

2. Detektiranje da se doista radi o povredi podataka

Indikatori koji upućuju na to da bi moglo doći do povrede podataka:

• u log datotekama web servera pronalazimo artefakte koji upućuju na pretraživanje ranjivosti našeg sustava
• pronalazak ranjivosti unutar našeg sustava koja može biti eksploatirana
• objave na nekom kanalu koje upućuju na namjeru da se izvede napad na našu organizaciju.

Indikatori koji govore da je došlo ili upravo dolazi do povrede podataka: 

• buffer overflow usmjeren na naš database server
• višestruki neuspješan login s nepoznatog udaljenog sustava
• primanje e-poruke sa sumnjivim sadržajem.

3. Izvođenje hitnih odgovora na incident

Nužno je napraviti nekoliko hitnih koraka kad se dogodi incident povrede podataka:

• zapisati vrijeme kad je došlo do prve informacije o povredi podataka kao i sve tad poznate činjenice
• osoba koja je otkrila incident treba informirati sve potrebne strane o incidentu, IRT
• odgovorna osoba provodi mjere ograničavanja pristupa kompromitiranim podatcima kako bi se spriječilo daljnje curenje podataka
• izolirati lokaciju na kojoj se dogodio incident
• prikupiti sve moguće podatke o incidentu
• napraviti intervju s osobama koje su otkrile incident
• provesti analizu rizika
• dokumentirati sve korake i analize
• izvijestiti nadležne ustanove (MUP?)
• početi dubinsku analizu, forenziku, kako bi se pronašao glavni vektor napada
• izvijestiti regulatora.

4. Prikupljanje dokaza

Potrebno je prikupiti podatke sa svih alata za kibernetičku sigurnost, poslužitelja i mrežnih uređaja i prikupiti informacije od zaposlenika.

Informacije koje je potrebno prikupiti uključuju:

• datum i vrijeme kada je otkrivena povreda podataka
• datum i vrijeme kada je započela reakcija na povredu podataka
• tko je otkrio povredu, tko ju je prijavio i tko još zna za povredu podataka
• koje su informacije ugrožene i kako
• opis svih događaja povezanih s incidentom
• informacije o svim stranama uključenim u povredu podataka
• koji su sustavi pogođeni incidentom
• informacije o opsegu i vrsti štete uzrokovane incidentom.

5. Analiziranje povrede podataka

Nakon što se prikupe podatci o incidentu potrebno ih je analizirati. Ovaj korak ima za cilj analizirati sve okolnosti koje su dovele do incidenta.

Pitanja na koja je potrebno odgovoriti u ovom procesu:

• Je li otkriven sumnjivi promet?
• Je li napadač imao privilegirani pristup do sustava?
• Koliko su dugo podatci bili kompromitirani?
• Jesu li napadači upotrebljavali specijalizirani software? Koji?
• Je li povreda podataka bila namjerna i jesu li involvirani vanjski napadači izvan organizacije?

6. Provođenje mjera sprječavanja širenja, uklanjanja i oporavka sustava

Sprječavanje širenje – cilj ove mjere nije samo izolirati kompromitirana računala i servere već i spriječiti uništavanje dokaza koji mogu pomoći u istrazi. Ako je moguće, treba također pratiti aktivnost napadača i utvrditi dolazi li do curenja podataka tijekom istrage.

Uklanjanje – od ključne je važnosti ukloniti sve izvore povrede podataka. Na primjer, ako je do povrede došlo zbog prijetnje iznutra, stručnjaci za sigurnost trebali bi onemogućiti sve račune s kojih su curile informacije. Ako je prijetnja bila vanjska, poput zlonamjernog softvera, potrebno je očistiti zahvaćeni sustav i zakrpati iskorištene ranjivosti.

Oporavak – nakon uspješnog uklanjanja, organizacija mora nastaviti s normalnim radom. To uključuje vraćanje zahvaćenih sustava u potpuno operativno stanje, instaliranje zakrpa, promjenu lozinki itd.

7. Izvještavanje pogođenih strana

Neovisno o zakonskoj obvezi, potrebno je informirati sve koji su pogođeni povredom podataka kako bi svi pogođeni mogli poduzeti mjere zaštite.

Koga sve treba izvijestiti ovisi o tipu podataka koji su kompromitirani?

Prema pojedinim uredbama potrebno je u određenom roku informirati nadležna tijela.

Opća uredba o zaštiti podataka (GDPR) zahtijeva da se obavijeste odgovarajuća nadzorna tijela najkasnije 72 sata nakon otkrivanja povrede podataka. GDPR postavlja maksimalnu kaznu od 20 milijuna eura ili četiri posto godišnjeg prometa (što je veće) za povredu podataka.

8. Provođenje post-incident mjera

Ove aktivnosti uključuju analizu incidenta i njegove posljedice te poduzmete mjere za sprječavanje sličnih problema u budućnosti. Svaku povredu podataka treba naknadno temeljito revidirati:

• revidirati mjere koje organizacija poduzima u kibernetičkoj zaštiti sustava
• analizirati uzroke povrede podataka
• izraditi ili revidirati plan kojim će se spriječiti slični incidenti u budućnosti
• revidirati politike i procedure u skladu s naučenim lekcijama
• poboljšati svijest o kibernetičkoj sigurnosti među zaposlenicima.

6. Kako upravljati računalno sigurnosnim incidentom povrede podataka

Kako bi se smanjila šteta od moguće povrede podataka, organizacija mora definirati proceduru i korake za odgovor na incident prije nego što uopće dođe do povrede podataka, tj. računalno sigurnosnog incidenta.

Izrada djelotvornog plana prvi je korak za provođenje učinkovite reakcije na incidente povrede podataka.

Plan odgovora na povredu podataka ili politika odgovora na povredu podataka okvir je koji definira uloge zaposlenika u organizaciji koji bi bili uključeni u rješavanje povrede podataka i korake koje bi trebali poduzeti ako (kad) dođe do povrede podataka.

Prednost izgrađene sposobnosti odgovora na incidente jest ta što podržava sustavno reagiranje na incidente tako da se poduzimaju predviđene odgovarajuće radnje. Odgovor na incidente pomaže organizacijama da minimiziraju gubitak ili krađu podataka i prekid usluga uzrokovan incidentom.

Još je jedna prednost odgovora na incidente mogućnost upotrebe informacija dobivenih tijekom upravljanja incidentima kako bi se bolje pripremili za upravljanje budućim incidentima i osigurali bolju zaštitu podataka i sustava.

Sposobnost odgovora na incidente također pomaže u rješavanju pravnih pitanja koja se mogu pojaviti tijekom incidenata.

Koraci koje je potrebno poduzeti u procesu upravljanja računalno sigurnosnim incidentom povrede podataka:

1. priprema za incident povrede podataka
2. detektiranje da se doista radi o povredi podataka
3. izvođenje hitnih odgovora na incident
4. prikupljanje dokaza
5. analiziranje povrede podataka
6. provođenje mjera sprečavanja širenja, uklanjanja i oporavka sustava
7. izvještavanje pogođenih strana
8. provođenje post-incident mjera.

7. Statistika računalno sigurnosnih incidenata povrede podataka

Zanimljivi statistički podatci u vezi s incidentima povrede podataka:

• 88 % sigurnosnih proboja u kibernetičkom prostoru uzrokovano je ljudskom pogreškom (Stanford University/Tessian study „Psychology of Human Error“)

• prosječno vrijeme potrebno za otkrivanje proboja je 194 dana (IBM: AI makes ‘real-world impact’ on breach costs)

• prosječni životni ciklus proboja – od otkrivanja do suzbijanja – traje 258 dana (IBM: AI makes ‘real-world impact’ on breach costs)

• 56 % Amerikanaca ne zna koje korake poduzeti u slučaju curenja podataka (Varonis)

• prosječna isplata ucjenjivačkog softvera (ransomware) naglo je porasla – s 812.380 $ u 2022. na 1.542.333 $ u 2023. (SC Magazine Report: Ransomware payouts and recovery cost went way up in 2023.)

• 94 % zlonamjernog softvera (malware) isporučuje se putem e-pošte (Verizon)

• prosječni trošak oporavka od ransomware napada u 2024. iznosi 2,73 milijuna dolara (Sophos)

• 75 % organizacija pretrpjelo je barem jedan ransomware napad prošle godine (Infosecurity Magazine)

• phishing (krađa identiteta) bio je vodeći način zaraze, zabilježen u 41 % incidenata, što ga čini najčešćim početnim vektorom napada (IBM)

• 19 % sigurnosnih proboja uključuje unutarnje aktere (Verizon)