Intsidendiplaan ja intsidendikaart

Moodul 8: Kui asjad lähevad valesti · Lugemisaeg: 10 minutit

Õpieesmärk: pärast seda õppetundi oskad koostada intsidendikaardi ja lihtsa intsidendiplaani, mis toimivad ka siis, kui sinu arvutid, e-post ja telefoninimekiri pole enam kättesaadavad.

Põhimõisted: intsident, intsidendikaart, intsidendiplaan, rollid, kontaktide nimekiri, piiramine, tõendite säilitamine, kommunikatsioon, offline hoidmine, harjutamine (tabletop)

Miks sa korraldad selle just nüüd, mitte siis, kui põleb

Kujuta ette: on esmaspäeva hommik kell 07:45. Pagariäri Example kassaarvutis on punane ekraan tekstiga, et kõik failid on krüpteeritud. Tellimuste jagatud kaust ei ava. Keegi ütleb: "Helista IT-mehele." Aga tema number on meilikasti kontaktides ning meilikast asub samas arvutis. Teine tahab arvuti kohe välja lülitada. Kolmas hakkab varukoopia kettast ühendama, et "kõik tagasi panna".

Kõik kolm reaktsiooni on mõistetavad ja kaks neist teevad olukorra hullemaks. Nii läheb peaaegu alati: surve all teevad inimesed seda, mis neile esimesena pähe tuleb. Intsident on iga sündmus, mis ohustab sinu andmete või süsteemide käideldavust, usaldusväärsust või konfidentsiaalsust: häkitud meilikonto, lunavara, kadunud sülearvuti, kliendiandmetega kiri, mis läks vale inimese kätte, ülevõetud veebileht.

Plaani eesmärk ei ole see, et kõik läheb hästi. Eesmärk on, et sa ei tee esimese tunni jooksul vigu, mida enam parandada ei saa, ja et sa tead, kellele helistada.

Intsidendikaart ja intsidendiplaan: erinevus

Kahe kuni kahekümne inimesega ettevõtte jaoks on kaart kõige tähtsam. Plaan võib olla lühike. Madalmaade NCSC on lunavara jaoks koostanud põhjaliku intsidendiplaani (vt Loe edasi); seda võib võtta lähtepunktiks ja lühendada.

Mis seisab intsidendikaardil

Hea kaart vastab viiele küsimusele. Allpool on näidis, mida saad üle võtta.

INTSIDENDIKAART  Pagariäri Example         versioon: 1   kuupäev: ..-..-....

1. MÄRKASID MIDAGI KAHTLAST?  (punane ekraan, saadetud veider kiri, sisselogimine
   ei õnnestu, tundmatu makse, kadunud sülearvuti, andmed läksid valele saajale)
   -> Teata KOHE: ............................  tel: ...............
      Varuisik: ..........................................  tel: ...............
   Teatamine on alati õige. Keegi ei saa selle eest süüdistada.

2. ESIMESED SAMMUD (ära hakka ise parandama)
   [ ] Võrgukaabel välja / wifi välja / lennukirežiim. ÄRA lülita välja.
   [ ] Ühenda lahti USB- ja varukoopia kettad. ÄRA ühenda tagasi.
   [ ] Tee ekraanist foto (oma telefoniga).
   [ ] Kirjuta üles: aeg, mida nägid, mida tegid.
   [ ] Ära maksa, ära vasta väljapressijale.

3. KELLELE HELISTAME?
   IT-abi / haldaja         ............................  tel: ...............
   Majutus / e-post         ............................  tel: ...............
   Pank (pettus, 24/7)      ............................  tel: ...............
   Kindlustusandja (küber)  ............................  poliis: .............
   Politsei (avalduse tegemiseks)   112 (hädaolukord) / politsei kontaktid
   Andmekaitse Inspektsioon, rikkumisest teavitamine (72 tunni jooksul): www.aki.ee
   Oluline klient/tarnija: ...................  tel: ...............

4. KES OTSUSTAB JA KES RÄÄGIB?
   Otsustab (väljalülitamine, taastamine, teavitamine, maksmine): ..........................
   Räägib klientide, ajakirjanduse, personaliga: ........................................
   Peab logiraamatut: .....................................................

5. KUS MIS ASUB?
   Varukoopiad: .............................. (viimane test: ..-..-....)
   Paroolihalduri hädajuurdepääs: ...........................................
   Süsteemide ja kontode nimekiri: ..........................................
   See plaan (digitaalselt) + koopia väljaspool ettevõtet: ..............................

Mõned valikud selles näidises väärivad selgitust.

• "Mitte välja lülitada, aga ühendus katkestada." Lunavararünnaku puhul soovitab Madalmaade NCSC rünnatud seade kohe võrgust eemaldada (kaabel, wifi, mobiilivõrk), kuid mitte välja lülitada; unerežiim on lubatud. Töömälus on jälgi, mida uurija võib vajada, mõnikord isegi võtmeid. Lahtiühendamine peatab leviku teistesse seadmetesse ja võrgukettale.
• "Ära ühenda varukoopia kettaid." Ketas, mille ühendad nakatunud arvutiga, krüpteeritakse samuti. Enne tuleb kindlaks teha, et keskkond on puhas (õppetund 8.3).
• "Teatamine on alati õige." Töötaja, kes esimesena midagi märkab, on sinu parim kaitse. Kui ta kardab noomitust, ootab ta ära ja sa kaotad tunde. Vaata ka õppetund 9.2.
• Numbrid paberil. Just suure intsidendi puhul ei tööta sageli sinu e-post, jagatud kalender ja mõnikord ka telefonikeskjaam. Kaart, mis on ainult pilves, on siis kättesaamatu.

Hädaolukorras helista 112. Avalduse tegemiseks, mis ei ole kiireloomuline, pöördu politsei poole nende tavakanalite kaudu. Enamik küberründeid ei ole 112 juhtum.

Rollid: kes teeb mida

Väikeses ettevõttes on sageli üks inimene kõik. Ikkagi lepi kokku kolm rolli, isegi kui kahel on sama nimi:

1. Otsustaja. Otsustab väljalülitamise, taastamise, Andmekaitse Inspektsioonile teatamise, pangaga ühenduse võtmise ja selle üle, kas kutsuda väline spetsialist. Eelistatavalt omanik või juhataja, kindla asendajaga.
2. Tehniline liin. Sinu IT-tarnija, veebiarendaja või osav kolleeg. Teeb seda, mida otsustaja palub, ja annab nõu. Lepi ette kokku, kas sinu IT-tarnija aitab ka intsidendi korral, kui kiiresti ja mis see maksab; see on küsimus õppetunnist 7.2.
3. Kommunikaator. Räägib klientide, personali ja vajadusel ajakirjandusega, et väljapoole läheks üks ühtne lugu. Andmelekke puhul kuulub siia ka asjaosaliste teavitamine (õppetund 8.2).

Määra ka keegi, kes peab logiraamatut: aeg, mis juhtus, kes mida otsustas. See tundub bürokraatlik, kuid seda on vaja Andmekaitse Inspektsioonile teavitamisel (kus küsitakse, millal rikkumise avastasid ja mida tegid), kindlustusandja jaoks, avalduse tegemiseks ja järelhindamiseks.

Plaan: mõni reegel iga intsidenditüübi kohta

Lisaks kaardile kirjuta iga sagedase intsidenditüübi kohta lühike tegevuskava. Alustuseks piisab neljast:

Pane kirja ka, millised süsteemid on kõige tähtsamad, tähtsuse järjekorras. Pagariäri Example puhul on see näiteks: kassa ja pin-makse, tänased tellimused, e-post, raamatupidamine, veebileht. Taastamisel alusta ülaltpoolt. Vaata ka RPO ja RTO õppetunnist 6.3.

Harjutamine: pool tundi laua ääres

Plaan, mida keegi ei tunne, ei toimi. Tabletop-harjutus võtab aega pool tundi: istud laua ääres koos inimestega, kellel on roll, ja mängid stsenaariumi läbi, ilma midagi päriselt puutumata. Juhendaja (selleks võid olla sina ise) kirjeldab samm-sammult, mis juhtub.

Näide: "On reede, kell 16:30. Raamatupidaja saab kirja püsitarnijalt: IBAN on muudetud, avatud arve summas 8400 eurot palun maksta veel täna uuele numbrile. Mida sa teed?" Ja seejärel: "On esmaspäev. Tarnija helistab: ta ei ole midagi saanud." Igal sammul küsi: kes teeb mida, kellele helistad, kus see number asub?

Pärast kirjuta üles, mis puudu jäi. Peaaegu alati on see telefoninumber, parool, mida teab ainult üks inimene, või ebaselgus selle kohta, kes otsustab. Korrigeeri kaarti ja lisa uus kuupäev. Üks kord aastas harjutada ja kaart üle vaadata on väikesele ettevõttele hea rütm, samuti pärast iga suurt muudatust (uus IT-tarnija, uus raamatupidamistarkvara).

Praktikas: nii see välja näeb

Lisa oma kaardile ka konkreetsed kohad, kus saad oma teenusepakkujate juures kiiresti sekkuda. WebOké puhul on need näiteks: aktiivsete seansside vaatamine ja väljalogimine Minu WebOké's, tegevuskava "Minu veebileht on häkitud" DirectAdmini juhendis, ja varukoopia taastamine. Teiste majutuse, e-posti ja pilveteenuste pakkujate juures on sarnased funktsioonid olemas; otsi need üles enne, kui neid vajad, ja kirjuta üles, kus need asuvad.

Kokkuvõte

• Intsidendikaart (üks A4 leht, paberil) tagab, et kõik teevad esimestel minutitel õiget asja: teatavad, ühendavad lahti, aga ei lülita välja, ei ühenda varukoopiaid, ei maksa midagi.
• Lepi kokku rollid: kes otsustab, kes teeb tehnilise töö, kes suhtleb, kes peab logiraamatut.
• Kirjuta iga sagedase intsidenditüübi kohta lühike tegevuskava ja oma kõige tähtsamate süsteemide järjekord.
• Hoia numbreid ja plaani ka väljaspool oma arvuteid.
• Harjuta kord aastas pool tundi laua ääres ja uuenda kaarti.

Test

Ülesanne

Ülesanne D8.1: Sinu enda intsidendikaart. Võta selle õppetunni näidis ja täida see oma ettevõtte jaoks: pärisnimed, numbrid ja asukohad. Prindi see välja, riputa üles ja tee telefoniga foto. Seejärel mängi koos ühe kolleegiga (või üksi) läbi selle õppetunni IBANi stsenaarium veerand tunni jooksul ning kirjuta üles, mis puudu jäi.

Loe edasi

WebOké artiklites toodud sammud kehtivad WebOké keskkonna kohta; teiste teenusepakkujate juures toimib see sarnaselt.

• DirectAdmin juhend 18.2: Minu veebileht on häkitud: tegevuskava
• Appi! Minu sait on häkitud. Kuidas seda parandada või ennetada?
• WebOké juhend 3.6: Aktiivsete seansside vaatamine ja väljalogimine
• Madalmaade NCSC, Mida teha lunavararünnaku korral?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Madalmaade NCSC, Intsidendiplaan lunavara jaoks (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• Politsei- ja Piirivalveamet: https://www.politsei.ee/