Ransomware incident nije završen kada se datoteke ponovno otvore. Sanacija ransomware incidenta obuhvaća obuzdavanje napada, očuvanje dokaza, siguran oporavak usluga, procjenu utjecaja, prijavu nadležnim tijelima i uklanjanje uzroka koji je napadaču omogućio pristup. Za ključne i važne subjekte prema Zakonu o kibernetičkoj sigurnosti, kvalitetno vođen postupak mora biti i dokaziv.
Najveća operativna pogreška jest tretirati incident kao isključivo tehnički kvar. Ransomware često zahvaća identitete, sigurnosne kopije, vanjske pružatelje usluga i osobne ili poslovno osjetljive podatke. Uprava mora zato aktivirati unaprijed određeni postupak upravljanja incidentom, s jasnim vlasnikom odluka, zapisom vremena i odgovornosti te kontroliranom komunikacijom.
Što sanacija ransomware incidenta mora postići
Cilj nije samo vratiti poslovanje u rad, nego vratiti ga u provjereno i prihvatljivo sigurnosno stanje. To znači da organizacija mora utvrditi koji su sustavi pogođeni, je li došlo do izdvajanja podataka, jesu li administratorski računi kompromitirani i može li se pouzdano koristiti postojeća sigurnosna kopija.
U hrvatskom regulatornom okviru obveze se ne procjenjuju samo prema vrsti zlonamjernog programa, već prema utjecaju incidenta na pružanje usluga, korisnike, mrežne i informacijske sustave te, prema potrebi, druge povezane obveze organizacije. Zakon o kibernetičkoj sigurnosti, NN 14/2024, i Uredba o kibernetičkoj sigurnosti, NN 135/2024, nacionalni su propisi koje subjekti trebaju primijeniti. NIS2 direktiva, Direktiva (EU) 2022/2555, postavlja europski okvir, ali se u Hrvatskoj ne primjenjuje odvojeno od nacionalnih provedbenih propisa.
| Faza | Ključno pitanje | Očekivani dokaz | |—|—|—| | Obuzdavanje | Je li širenje zaustavljeno? | Dnevnik izolacije sustava i odluke incidentnog tima | | Istraga | Što je zahvaćeno i kako? | Sačuvani zapisi, vremenska crta i nalaz analize | | Oporavak | Je li usluga vraćena sigurno? | Zapis provjera, test vraćanja podataka i odobrenje vlasnika usluge | | Izvješćivanje | Je li prijava pravodobna i potpuna? | Kopije prijava, procjena značajnosti i komunikacijski zapis | | Poboljšanje | Je li uzrok uklonjen? | Plan korektivnih mjera, nositelji, rokovi i dokaz zatvaranja |
Sedam koraka za kontroliranu sanaciju
1. Aktivirajte incidentni postupak i uspostavite vodstvo
Odmah odredite voditelja incidenta, tehnički tim, osobu za komunikaciju s upravom i odgovornu osobu za regulatorno izvješćivanje. Ako te uloge nisu unaprijed imenovane, odluke se često donose preko neformalnih kanala, a kasnije nije moguće dokazati tko je odobrio gašenje sustava, vraćanje sigurnosne kopije ili obavijest vanjskom pružatelju usluga.
Prvi zapis treba sadržavati vrijeme otkrivanja, prijavitelja, zahvaćenu uslugu, početnu procjenu poslovnog utjecaja i poduzete radnje. Pretpostavke treba jasno označiti kao pretpostavke, a ne kao utvrđene činjenice.
2. Ograničite širenje bez uništavanja tragova
Prioritet je prekinuti mogućnost daljnjeg širenja: izolirati pogođene uređaje, ograničiti kompromitirane račune, po potrebi privremeno odvojiti segment mreže i zaustaviti automatizirane procese koji bi mogli širiti štetu. Međutim, neselektivno gašenje svih sustava može ukloniti vrijedne podatke iz radne memorije i otežati istragu.
Odluka o izolaciji ovisi o kritičnosti usluge. U zdravstvenom, energetskom ili prometnom okruženju prekid može imati ozbiljnije posljedice od ograničenog rada pogođenog dijela infrastrukture. Zato plan kontinuiteta poslovanja mora odrediti prihvatljive privremene načine rada i osobe ovlaštene za odluku.
3. Sačuvajte dokaze i utvrdite opseg incidenta
Dokazi za istragu i reviziju uključuju zapise sustava, sigurnosne alarme, podatke o prijavama, promjene administratorskih prava, zapise sigurnosnih kopija, komunikaciju s pružateljima usluga i snimke pogođenih virtualnih ili fizičkih sustava kada je to izvedivo. Evidentirajte tko je prikupio dokaz, kada i gdje je pohranjen.
Istraga treba odgovoriti na četiri pitanja: kada je započeo neovlašteni pristup, kojim je putem ostvaren, koje su ovlasti napadača bile dostupne i jesu li podaci izdvojeni prije enkripcije. Potvrda da je određeni poslužitelj šifriran nije isto što i potvrda punog opsega incidenta.
4. Procijenite regulatorni i poslovni utjecaj
Procjena značajnosti incidenta mora biti dokumentirana. U obzir se uzimaju prekid ili degradacija usluge, broj i kategorije pogođenih primatelja usluga, trajanje, geografski doseg, gospodarski učinak i mogući utjecaj na druge subjekte. Ako se sumnja na kompromitiranje osobnih podataka, potrebno je paralelno uključiti službenika za zaštitu podataka i procijeniti obveze prema propisima o zaštiti podataka.
Za prijavu kibernetičkog incidenta vrijede nacionalni postupci, nadležnosti i rokovi propisani ZKS-om, Uredbom te uputama nadležnih tijela i sektorskih CSIRT-ova. NIS2 predviđa model ranog upozorenja, obavijesti o incidentu i završnog izvješća, no organizacija mora provjeriti kako se konkretne obveze primjenjuju na njezin status i sektor u Hrvatskoj. Ne čekajte završetak forenzičke analize ako je potrebno poslati početnu prijavu: početna procjena može se naknadno dopuniti.
5. Vratite sustave iz pouzdanog izvora
Oporavak započinje tek nakon provjere da sigurnosna kopija nije kompromitirana i da su uklonjeni ili ograničeni početni putevi napada. Vraćanje šifriranih podataka na nepromijenjenu infrastrukturu može samo obnoviti problem.
Prije ponovnog puštanja usluge provjerite administratorske račune, višefaktorsku autentifikaciju, udaljeni pristup, segmentaciju, sigurnosne zakrpe i nadzor. Za svaku vraćenu kritičnu uslugu treba postojati zapis o testu funkcionalnosti, sigurnosnoj provjeri i poslovnom odobrenju. Prioritet oporavka određuje analiza utjecaja na poslovanje, a ne redoslijed u kojem su sustavi tehnički dostupni.
6. Vodite komunikaciju i odluke pod nadzorom
Poruka zaposlenicima, korisnicima, dobavljačima i javnosti mora biti usklađena s utvrđenim činjenicama. Preuranjena tvrdnja da podaci nisu kompromitirani može stvoriti pravni i reputacijski problem ako istraga pokaže suprotno. Komunikacija treba reći što je poznato, koje su mjere poduzete i kada se očekuje sljedeća obavijest.
Zahtjev za otkupninom ne smije upravljati sanacijom. Plaćanje ne jamči povrat podataka, uklanjanje kopija ni prestanak ucjene. Takvu odluku treba razmotriti uz upravu, pravne stručnjake, procjenu mogućih sankcijskih ograničenja, osiguravatelja ako postoji pokriće te nadležna tijela. Neovisno o odluci, obuzdavanje, istraga i oporavak ostaju nužni.
7. Zatvorite nalaze kroz mjerljiv plan
Postincidentni izvještaj nije formalnost. Treba povezati uzrok, posljedicu, postojeću kontrolu koja nije djelovala i korektivnu mjeru. Primjerice, nalaz da je kompromitiran račun s preširokim ovlastima ne zatvara se općom mjerom poput pojačanja sigurnosti. Potrebni su konkretni zadaci: revizija privilegiranih računa, promjena postupka odobravanja, uvođenje dodatne kontrole, testiranje i dokaz izvršenja.
Za svaku mjeru odredite vlasnika, rok, rizik koji se smanjuje, ovisnosti i kriterij zatvaranja. Uprava treba periodično pregledavati otvorene nalaze jer upravljanje rizicima i nadzor nad provedbom nisu isključiva odgovornost IT odjela.
Dokazi koje će organizacija trebati pokazati
U internom nadzoru, reviziji ili komunikaciji s nadležnim tijelima vrijednost ima sljedivost. Organizacija bi trebala moći pokazati važeći plan upravljanja incidentima, zapisnike testiranja, kontaktne popise, evidenciju odluka tijekom incidenta, procjenu utjecaja, prijave i dopune prijava, dokaz vraćanja iz sigurnosnih kopija te plan korektivnih mjera.
Čest problem nije potpuni nedostatak dokaza, nego njihova raspršenost po e-pošti, alatima za podršku, zapisnicima sastanaka i lokalnim mapama. ITrevizija.hr može pomoći povezati dokaze sa zahtjevima ZKS-a i Uredbe, evidentirati utvrđene neusklađenosti, dodijeliti korektivne aktivnosti i pratiti njihovo zatvaranje. Platforma ne zamjenjuje stručnu istragu niti odgovornost uprave, ali smanjuje rizik da ključni dokaz ili otvorena mjera ostanu izvan nadzora.
Najkorisnija priprema za ransomware nije dokument koji se otvara tek nakon incidenta, nego redovito testiran postupak s dokazima koji se održavaju tijekom godine. Kada su odgovornosti, sigurnosne kopije, komunikacijski kanali i korektivne mjere provjereni unaprijed, sanacija ostaje zahtjevna, ali postaje upravljiv poslovni i regulatorni proces.