INFOCHIEF ACADEMY · INFORMATION SECURITY KNOWLEDGE SERIES
Xây dựng kế hoạch ứng phó ransomware cho doanh nghiệp.
Kế hoạch ransomware cần bảo vệ khả năng kinh doanh khi nền tảng quen thuộc không còn sẵn sàng. Nối dịch vụ, dữ liệu, quyết định và kiểm thử giúp doanh nghiệp phục hồi có kiểm chứng và quản lý hậu quả còn lại.
Biên soạn: Infochief Academy · Chuyên đề: Quản lý an toàn thông tin
Một thông báo đòi tiền xuất hiện trên máy chủ khiến mọi cuộc trao đổi nhanh chóng tập trung vào câu hỏi có khôi phục được dữ liệu hay không. Nhưng doanh nghiệp còn phải xác định hoạt động nào đang dừng, tài khoản nào có thể bị ảnh hưởng và dữ liệu có bị lấy ra ngoài trước khi mã hóa hay không. Kế hoạch chỉ có danh sách bản sao lưu sẽ thiếu nhiều quyết định cần thiết.
Ứng phó ransomware cần được chuẩn bị như một tình huống gián đoạn kinh doanh có yếu tố an toàn thông tin. Đội kỹ thuật, chủ nghiệp vụ và lãnh đạo phải có cách phối hợp khi chính nền tảng làm việc đang không đáng tin cậy. Mục tiêu là hạn chế tác động, phục hồi có kiểm chứng và quản lý những hậu quả vẫn còn sau khi dịch vụ hoạt động trở lại.
Xác định điều doanh nghiệp phải duy trì khi hệ thống ngừng
Trước hết cần hiểu dịch vụ nào hỗ trợ các hoạt động quan trọng và chúng phụ thuộc dữ liệu, danh tính hay nền tảng nào. Một ứng dụng nhỏ có thể nằm trên đường xử lý giao dịch thiết yếu. Nếu ưu tiên theo kích thước máy chủ hoặc độ nổi tiếng của hệ thống, nhóm dễ phục hồi một thành phần không giúp nghiệp vụ tiếp tục.
Phân tích tác động kinh doanh giúp xác định thứ tự và yêu cầu phục hồi phù hợp. Chủ nghiệp vụ cần cho biết hậu quả khi hoạt động dừng, khả năng làm việc thay thế và dữ liệu cần có. RTO thể hiện mục tiêu thời gian phục hồi, còn RPO phản ánh mục tiêu về điểm dữ liệu có thể phục hồi. Các mục tiêu phải được đối chiếu với khả năng thực tế, không chỉ điền vào biểu mẫu.
Phương án hoạt động tối thiểu cũng cần điều kiện. Làm thủ công có thể giữ một phần công việc nhưng tạo nguy cơ sai dữ liệu, khó đối soát hoặc chia sẻ ngoài quy trình. Cần xác định ai được kích hoạt, thông tin nào được sử dụng và cách đưa kết quả trở lại hệ thống sau đó. Không nên chỉ ghi “chuyển sang thủ công” mà chưa thử cách làm.
Đội ngũ có thể dùng quản lý rủi ro IT để lựa chọn kịch bản diễn tập. Việc một hệ thống bị mã hóa khác với tình huống nhiều nền tảng và nguồn danh tính cùng bị ảnh hưởng. Kế hoạch cần biết điều kiện nào đã được thử, phần nào mới là giả định và nguồn lực nào phải huy động thêm.
Chuẩn bị khả năng phục hồi trước khi cần dùng
Hướng dẫn #StopRansomware của CISA nhấn mạnh sao lưu được bảo vệ, trong đó có bản sao ngoại tuyến và kiểm thử khả năng sử dụng. Lý do là các bản sao có thể tiếp cận từ môi trường bị ảnh hưởng cũng có nguy cơ bị xóa hoặc mã hóa. Báo cáo sao lưu thành công vì thế không đủ chứng minh doanh nghiệp có thể phục hồi khi xảy ra ransomware.
Tổ chức cần rà cả dữ liệu lẫn thành phần để dựng lại dịch vụ: cấu hình, phần mềm cần thiết, thông tin phụ thuộc và cơ chế truy cập phục vụ khôi phục. Những nguồn này phải được bảo vệ phù hợp. Nếu tài liệu phục hồi và thông tin liên hệ chỉ nằm trên hệ thống đang bị dừng, đội ngũ có thể không tiếp cận được lúc cần.
Các biện pháp như lưu trữ bất biến hoặc tách quyền quản trị cần được hiểu theo cấu hình và giới hạn cụ thể. Không nên coi một nhãn sản phẩm là bảo đảm tuyệt đối. Khả năng thay đổi chính sách, xóa tài nguyên hoặc sử dụng quyền quản trị vẫn cần được xem trong đánh giá. Bản sao và công cụ phục hồi phải nằm trong phạm vi kiểm thử.
Kiểm thử nên xác nhận luồng nghiệp vụ quan trọng sau khi dựng lại, không chỉ việc đọc được một tệp. Nhóm cần biết thời gian thực hiện, phần dữ liệu thiếu và bước đối soát. Chủ nghiệp vụ xác nhận kết quả có thể dùng để tiếp tục hoạt động; đội kỹ thuật giữ bằng chứng để cập nhật kế hoạch và các mục tiêu chưa đạt.
Năng lực quản trị vận hành IT giúp chuẩn bị môi trường phục hồi và kiểm tra phụ thuộc. Công việc này cần lịch, người chịu trách nhiệm và khả năng thực hiện dưới điều kiện bị hạn chế, thay vì phụ thuộc vào một cá nhân biết cách làm nhưng không có phương án thay thế.
Tổ chức quyết định khi phát hiện dấu hiệu ransomware
Kế hoạch cần nêu người điều phối, thẩm quyền hạn chế hoạt động và cơ chế huy động nhóm chuyên môn. Dấu hiệu mã hóa có thể xuất hiện sau các hoạt động khác; phạm vi cần được đánh giá phù hợp thay vì chỉ tập trung vào thiết bị hiện thông báo. Nhóm phải phân biệt điều đã xác nhận, điều nghi ngờ và những hệ thống chưa kiểm tra.
Hạn chế tác động cần dựa trên tình hình và năng lực chuyên gia. Các lựa chọn có thể ảnh hưởng dịch vụ và bằng chứng, nên phải có người chịu trách nhiệm, ghi hành động và xem lại hiệu quả. Không đưa một chỉ dẫn chung như tắt mọi hệ thống thành phản ứng mặc định cho mọi tình huống; tổ chức cần quy trình phù hợp đã được chuẩn bị và diễn tập.
Nguồn thông tin phục vụ điều tra phải được bảo vệ theo khả năng và yêu cầu áp dụng. Điều phối cần ghi thời điểm, quyết định và phần dữ liệu đã thu. Một báo cáo ngắn với thông tin đáng tin cậy hữu ích hơn nhiều nhận định chưa kiểm chứng được chuyển qua các nhóm như kết luận chắc chắn.
| Quyết định cần chuẩn bị | Người cần tham gia | Điều phải xác nhận |
|---|---|---|
| Hạn chế hoạt động | Điều phối, kỹ thuật và chủ dịch vụ | Phạm vi, tác động và mục tiêu của hành động |
| Duy trì công việc tối thiểu | Chủ nghiệp vụ và đầu mối vận hành | Phương án thay thế cùng giới hạn sử dụng dữ liệu |
| Khôi phục dịch vụ | Kỹ thuật, bảo mật và nghiệp vụ | Điều kiện môi trường, dữ liệu và thứ tự phục hồi |
| Cung cấp thông tin | Lãnh đạo cùng đầu mối chuyên môn | Nội dung đã xác nhận và nghĩa vụ áp dụng |
Bảng là gợi ý phân định quyết định cho diễn tập. Mỗi doanh nghiệp cần điều chỉnh theo dịch vụ, quy mô và thẩm quyền. Không nên giao mọi quyết định cho IT nếu hậu quả liên quan khách hàng, hợp đồng hoặc quyền duy trì một hoạt động kinh doanh quan trọng.
Quản lý thông tin và hậu quả ngoài việc mã hóa
Ransomware có thể đi cùng lấy dữ liệu và đe dọa công bố. Vì thế, khôi phục bản sao không tự xử lý toàn bộ tác động tới tính bảo mật. Nhóm phải xem bằng chứng về phạm vi dữ liệu, phối hợp chuyên gia và xác định nghĩa vụ thông báo phù hợp. Không suy ra dữ liệu chắc chắn an toàn chỉ vì hệ thống đã hoạt động lại.
Truyền thông cần có đầu mối và thông tin thống nhất. Nhân viên, khách hàng và đối tác có nhu cầu khác nhau, nhưng nội dung phải phân biệt phần đã biết với phần còn điều tra. Nếu tổ chức chưa rõ phạm vi, cần nói đúng tình trạng và kế hoạch cập nhật, tránh đưa cam kết về thời điểm hoặc an toàn dữ liệu vượt căn cứ hiện có.
Mọi quyết định liên quan yêu cầu của bên tấn công phải thuộc cấp có thẩm quyền, với tư vấn chuyên môn và xem xét yêu cầu pháp lý áp dụng. Thanh toán không bảo đảm khôi phục được dữ liệu hoặc ngăn công bố thông tin. Kế hoạch không nên dựa vào lựa chọn đó như phương án phục hồi; cần chuẩn bị khả năng hoạt động của chính doanh nghiệp.
Nhóm quản lý bảo mật thông tin giúp nối điều tra, kiểm soát và đánh giá rủi ro còn lại. Cơ chế này giữ việc khôi phục khỏi trở thành một hoạt động đơn lẻ, trong khi tài khoản, đường truy cập hoặc trách nhiệm với dữ liệu vẫn chưa được xử lý đầy đủ.
Một tình huống: bản sao còn nhưng dịch vụ chưa thể trở lại
Trong tình huống giả định, doanh nghiệp có bản sao dữ liệu được bảo vệ và kiểm tra định kỳ. Khi môi trường sản xuất bị ảnh hưởng, nhóm dự kiến phục hồi ứng dụng đặt hàng trước. Tuy nhiên, ứng dụng còn phụ thuộc nguồn danh tính và một kết nối tích hợp chưa được xác nhận đủ điều kiện sử dụng.
Chủ nghiệp vụ cần xử lý các giao dịch đang chờ, nhưng nhóm điều phối chưa cho phép kết nối lại toàn bộ. Họ áp dụng phương án tối thiểu đã chuẩn bị cho một phạm vi được xác định, đồng thời huy động đầu mối của các nền tảng phụ thuộc. Thông tin khách hàng không được chuyển tùy tiện sang công cụ cá nhân chỉ để giải quyết nhanh.
Sau khi kiểm tra môi trường và các phụ thuộc, nhóm phục hồi theo thứ tự đã thống nhất. Chủ nghiệp vụ xác nhận một số luồng và đối soát dữ liệu còn thiếu. Trong khi đó, nhóm điều tra tiếp tục đánh giá khả năng dữ liệu bị lấy; việc ứng dụng hoạt động không được dùng để kết luận phần điều tra đã hoàn tất.
Rà sau tình huống cho thấy kế hoạch sao lưu đủ cho dữ liệu nhưng chưa mô tả đầy đủ cách phục hồi danh tính và tích hợp. Doanh nghiệp bổ sung phụ thuộc, người xác nhận và phạm vi diễn tập. Bài học không phải chỉ mua thêm dung lượng, mà là kiểm tra khả năng phục hồi cả chuỗi hoạt động.
Diễn tập những quyết định khó và theo dõi phần chưa đạt
Diễn tập bàn giúp các bên thử quyền quyết định và cách cung cấp thông tin; kiểm thử kỹ thuật giúp xác nhận khả năng phục hồi. Hai hình thức bổ sung cho nhau. Một cuộc họp diễn tập không chứng minh bản sao dùng được, còn một lần khôi phục thành công không chứng minh lãnh đạo và nghiệp vụ có thể phối hợp khi thông tin thiếu.
Kịch bản nên đưa vào những điều kiện có ý nghĩa: thiếu một đầu mối, dịch vụ liên lạc không dùng được hoặc bằng chứng cho thấy phạm vi rộng hơn ban đầu. Nhóm cần xem cách thay đổi quyết định, không chỉ đọc lại kế hoạch. Những điểm chưa đạt phải được chuyển thành hành động có chủ phụ trách và bước kiểm tra lại.
Năng lực lãnh đạo IT giúp duy trì nguồn lực và xử lý các lựa chọn vượt quyền nhóm kỹ thuật. Một kế hoạch có thể sử dụng là kế hoạch doanh nghiệp biết ai quyết định, dựa vào thông tin nào và phục hồi hoạt động nào dưới điều kiện nào. Sự chuẩn bị đó tạo khả năng điều hành ngay cả khi hệ thống quen thuộc không còn sẵn sàng.