دورة حياة الاستجابة للحوادث — كيف نطبقها في شركة صغيرة؟

لا تجعل معايير BSI تخيفك، فالأساس هو المنطق السليم. الخطأ الأكثر شيوعاً في الشركات الصغيرة هو عدم وضوح المسؤوليات. وقت الأزمة، من سيتخذ القرار: مدير المكتب، أم الـ IT الخارجي، أم صاحب الشركة؟ إذا لم توثقوا هذه الصلاحيات كتابياً من الآن، فستضيعون ساعات في الاتصالات التائهة أثناء الهجوم.

في خطوة الاحتواء، كل ما يجب على الموظف فعله هو فصل الاتصال الفعلي بالشبكة. إعادة تشغيل الجهاز أو سحب القابس يطير آثار البرمجيات الخبيثة من الـ RAM. بمجرد فصل كابل الشبكة، ترتفع فرصة الخبير الخارجي في تحليل الذاكرة ومعرفة مصدر البرمجية الخبيثة بشكل كبير.

أول شيء تفعله صباح الغد هو هذه الأمور الثلاثة: 1) اطبع رقم طوارئ مسؤول دعم الـ IT الخارجي وعلقه على لوحة الإعلانات. 2) خذ نسخة احتياطية أسبوعية على قرص صلب خارجي واقفل عليها في الخزنة. 3) أخبر الفريق أنه في حال الشك بأي شيء، يفصلون الإنترنت فقط دون إطفاء الجهاز. هكذا تكون أنجزت نصف مرحلة التحضير.

نحن قبل عامين تعرضنا لهجوم برمجية فدية مماثل وفوجئنا ونحن غير مستعدين. واضطررنا لدفع 6.500 EUR لفريق خارجي لاستعادة الخادم وإجراء التحليل الجنائي الرقمي. ولو كنا جهزنا بروتوكول طوارئ قبلها بثلاثة أشهر، لما تكبدنا أكثر من نصف تلك المصاريف.

هناك نقطة لم أفهمها، لماذا يكون إطفاء الكمبيوتر ضاراً؟ يعني ألا يتوقف عمل الفيروس عند قطع الكهرباء، أليس سحب القابس فوراً هو الأكثر منطقية؟

إياكم وشراء ملفات وأطر العمل الكبيرة التي يروج لها الاستشاريون. يحاولون جعل شركة صغيرة تملأ استمارات من مئة بند، ووقت الأزمة لا أحد يفتح حتى غلاف ذلك المجلد. أي شيء عدا قائمة مراجعة بسيطة يعتبر مضيعة للوقت.

باختصار، الدورة أربع خطوات: جهز خطة الاتصال والنسخ الاحتياطي قبل وقوع أي شيء، افصل الجهاز عن الشبكة عند الشك، نظف النظام مع خبير الـ IT، وبعد انتهاء الحادثة سجل أين كانت الثغرة وعزز أمان النظام.

مررت بهذا الطريق، دعني أشرح. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أختلف معك في هذه النقطة. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

قضيت وقتًا طويلاً في هذا المجال. تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً. أتمنى أن يفيدك هذا.

دعني أشارك تجربتي. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

تشتت النقاش، دعني ألخصه. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أعتقد أن الحديث بهذه القطعية في جانب دورة حياة الاستجابة للحوادث صعب. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

لو كنت مكانك، لسلك هذا المسار.

تم الحفظ.

سأتحدث من الطرف الآخر، فأنا من جانب الموردين. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

لو كنت مكانك، لسلك هذا المسار.

عانيت من نفس المشكلة قبل عامين. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف. صححوا لي إن أخطأت.

دعني أشرح كيف يتم التطبيق عملياً. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

مثبت بالتجربة.