L'assicurazione richiede un 'piano di ripristino da ransomware' per il rinnovo della polizza: cosa deve contenere?

Non mettetevi a scaricare da internet template preconfezionati da 50 pagine; i risk analyst delle assicurazioni riconoscono subito i copia-incolla e li bocciano. Dedicate i prossimi due giorni a scrivere un documento chiaro di 4 pagine aderente ai vostri processi reali, poi prendete il backup di ieri sera, ripristinatelo di prova su una macchina virtuale vuota e allegate i log.

Fate molta attenzione a come descrivete il backup su disco esterno in ufficio. Se quell'hard disk resta sempre attaccato al server, il ransomware cripta pure quello in un attimo. Nel piano dovete specificare a chiare lettere che il disco viene disconnesso fisicamente subito dopo la procedura, riposto in una cassaforte ignifuga chiusa a chiave e che per i backup in cloud è attiva la funzione di immutabilità (object lock).

Le 3 tabelle più critiche da includere nel documento sono: 1) Inventario dei sistemi in ordine di criticità (prima la contabilità, poi il magazzino, infine l'archivio), 2) Lista dei contatti esterni da chiamare in caso di incidente (linea sinistri dell'assicurazione, azienda di digital forensics, consulente legale), 3) Passaggi di verifica e bonifica da eseguire prima di ricollegare i sistemi a Internet.

Il mese scorso abbiamo affrontato un processo simile per la nostra azienda di produzione a New York. Ci hanno chiesto gli stessi identici documenti. Abbiamo preparato uno scenario di due pagine e vi abbiamo allegato 14 pagine di log reali di test di ripristino. La compagnia assicurativa ha rinnovato la polizza da 4.200 dollari alle stesse condizioni senza fare la minima obiezione.

Nel piano avete specificato come vengono protetti i backup in cloud? Se la password dell'account cloud viene compromessa, l'attaccante può cancellare anche i backup presenti lì. Nel vostro pannello di backup avete attivato un'autenticazione a due fattori indipendente e il blocco di protezione dall'eliminazione?

stampatevi assolutamente il piano che preparerete e tenetene una copia fisica sulla scrivania del direttore generale e una a casa vostra ma comunque quando i server sono bloccati non riuscire ad accedere a quel fantastico piano di ripristino dal pc aziendale è purtroppo la barzelletta più frequente.

Il vero motivo per cui le compagnie assicurative rendono così difficili questi questionari non è proteggervi, ma evitare di pagare il risarcimento del danno in caso di attacco sostenendo che non avete rispettato le procedure. Per questo motivo assicuratevi che ogni singola frase inserita nel piano sia effettivamente applicata in azienda; non scrivete nulla che non facciate nella realtà.

Non vi spaventate per un team di 22 persone nessuno pretende scenari di disaster recovery aziendali da centinaia di pagine. Una chiara sequenza di ripristino uno schema che dimostri la sicurezza dei backup e il log di un test andato a buon fine saranno più che sufficienti per il rinnovo della polizza.

Grazie per averlo scritto, è proprio così. Un backup non testato non è un backup.

Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla. Spero che le sia utile.

Ti seguo.

Lascio un avvertimento. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Per un periodo ci siamo bloccati anche noi nello stesso punto. Un report di scansione automatica e un penetration test non sono la stessa cosa.

È tutto, scusate se mi sono dilungato.

Non lo sapevo.

Lascio un avvertimento. Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Sono d'accordo. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Non abbiate paura di chiedere, chi non chiede paga sempre di più.

secondo voi funziona a tutte le scale? non fidatevi di una sola misura di sicurezza; procedete per livelli.

correggetemi se sbaglio.

Ho lavorato a lungo su questo. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Separiamo i concetti, vengono confusi. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Il tempo che impiegate a rilevare un problema ne determina direttamente il costo. Se scrivete qui il risultato, sarà utile anche ad altri.