Ενότητα 8 · 8.1
Σχέδιο αντιμετώπισης περιστατικών και κάρτα αντιμετώπισης περιστατικών
Ενότητα 8: Όταν κάτι πάει στραβά · Χρόνος ανάγνωσης: 10 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να φτιάξετε μια κάρτα αντιμετώπισης περιστατικών και ένα απλό σχέδιο αντιμετώπισης περιστατικών που λειτουργούν ακόμη και όταν οι υπολογιστές, το email και η λίστα τηλεφώνων σας δεν είναι προσβάσιμα.
Βασικές έννοιες: περιστατικό, κάρτα αντιμετώπισης περιστατικών, σχέδιο αντιμετώπισης περιστατικών, ρόλοι, λίστα επαφών, περιορισμός, διατήρηση αποδεικτικών στοιχείων, επικοινωνία, φύλαξη εκτός σύνδεσης, εξάσκηση (tabletop)
Γιατί το κανονίζετε τώρα, και όχι όταν καίγεται το σπίτι
Φανταστείτε: είναι Δευτέρα πρωί, 07:45. Στον υπολογιστή του ταμείου του Αρτοποιείου Example εμφανίζεται μια κόκκινη οθόνη με το μήνυμα ότι όλα τα αρχεία έχουν κρυπτογραφηθεί. Ο κοινόχρηστος φάκελος με τις παραγγελίες δεν ανοίγει. Κάποιος λέει: «Καλέστε τον τεχνικό υπολογιστών.» Όμως ο αριθμός του βρίσκεται στις επαφές του mailbox, και το mailbox βρίσκεται στον ίδιο υπολογιστή. Κάποιος άλλος θέλει να κλείσει αμέσως τον υπολογιστή. Ένας τρίτος αρχίζει να συνδέει τον δίσκο αντιγράφων ασφαλείας για να «επαναφέρει τα πάντα».
Και οι τρεις αντιδράσεις είναι κατανοητές, και οι δύο από αυτές επιδεινώνουν την κατάσταση. Έτσι γίνεται σχεδόν πάντα: υπό πίεση, οι άνθρωποι κάνουν ό,τι τους έρχεται πρώτο στο μυαλό. Ένα περιστατικό είναι κάθε γεγονός που απειλεί τη διαθεσιμότητα, την αξιοπιστία ή την εμπιστευτικότητα των δεδομένων ή των συστημάτων σας: ένας παραβιασμένος λογαριασμός email, ransomware, ένα χαμένο laptop, ένα email με δεδομένα πελατών που στάλθηκε στο λάθος άτομο, ένας ιστότοπος που έχει καταληφθεί.
Ο στόχος ενός σχεδίου δεν είναι να πάνε όλα καλά. Ο στόχος είναι να μην κάνετε, μέσα στην πρώτη ώρα, λάθη που δεν μπορείτε πλέον να διορθώσετε, και να ξέρετε ποιον θα καλέσετε.
Κάρτα και σχέδιο αντιμετώπισης περιστατικών: η διαφορά
| Κάρτα αντιμετώπισης περιστατικών | Σχέδιο αντιμετώπισης περιστατικών | |
|---|---|---|
| Τι είναι | Ένα Α4 με τα πρώτα βήματα και τους αριθμούς τηλεφώνου | Μερικές σελίδες με ρόλους, συμφωνίες και ανάλυση ανά τύπο περιστατικού |
| Για ποιον | Για όλους στην επιχείρηση | Για τον ιδιοκτήτη ή το άτομο που διαχειρίζεται την πληροφορική |
| Πού βρίσκεται | Σε χαρτί, στον τοίχο δίπλα στον εκτυπωτή, στο συρτάρι, ως φωτογραφία στο τηλέφωνό σας | Σε χαρτί και ψηφιακά, με ένα αντίγραφο εκτός της επιχείρησης |
| Πότε | Τα πρώτα λεπτά | Οι πρώτες ώρες και ημέρες |
Για μια επιχείρηση δύο έως είκοσι ατόμων, η κάρτα είναι το σημαντικότερο εργαλείο. Το σχέδιο μπορεί να είναι σύντομο. Το ολλανδικό NCSC διαθέτει ένα εκτενές σχέδιο αντιμετώπισης περιστατικών ransomware (δείτε Περαιτέρω ανάγνωση)· μπορείτε να το χρησιμοποιήσετε ως αφετηρία και να το συντομεύσετε.
Τι περιλαμβάνει η κάρτα αντιμετώπισης περιστατικών
Μια καλή κάρτα απαντά σε πέντε ερωτήσεις. Παρακάτω ένα πρότυπο που μπορείτε να χρησιμοποιήσετε.
ΚΑΡΤΑ ΑΝΤΙΜΕΤΩΠΙΣΗΣ ΠΕΡΙΣΤΑΤΙΚΩΝ Αρτοποιείο Example έκδοση: 1 ημερομηνία: ..-..-....
1. ΠΑΡΑΤΗΡΗΣΑΤΕ ΚΑΤΙ ΠΕΡΙΕΡΓΟ; (κόκκινη οθόνη, παράξενο email που στάλθηκε, η σύνδεση δεν λειτουργεί,
άγνωστη πληρωμή, χαμένο laptop, δεδομένα σε λάθος παραλήπτη)
-> Αναφέρετέ το ΑΜΕΣΩΣ σε: ............................ τηλ: ...............
Αναπληρωτής: .......................................... τηλ: ...............
Η αναφορά είναι πάντα σωστή επιλογή. Κανείς δεν κατηγορείται.
2. ΠΡΩΤΑ ΒΗΜΑΤΑ (μην προσπαθήσετε να το διορθώσετε μόνοι σας)
[ ] Βγάλτε το καλώδιο δικτύου / απενεργοποιήστε το wifi / λειτουργία πτήσης. ΜΗΝ το κλείσετε.
[ ] Αποσυνδέστε δίσκους usb και αντιγράφων ασφαλείας. ΜΗΝ τους συνδέσετε.
[ ] Τραβήξτε φωτογραφία της οθόνης (με το τηλέφωνό σας).
[ ] Σημειώστε: ώρα, τι είδατε, τι κάνατε.
[ ] Μην πληρώσετε, μην απαντήσετε στον εκβιαστή.
3. ΠΟΙΟΝ ΚΑΛΟΥΜΕ;
Τεχνική υποστήριξη / διαχειριστής ............................ τηλ: ...............
Hosting / email ............................ τηλ: ...............
Τράπεζα (απάτη, 24/7) ............................ τηλ: ...............
Ασφαλιστική εταιρεία (cyber) ............................ συμβόλαιο: .............
Αστυνομία (καταγγελία) 112 ή 100 (έκτακτη ανάγκη) / τοπικό τμήμα
Γνωστοποίηση παραβίασης στην ΑΠΔΠΧ www.dpa.gr (εντός 72 ωρών)
Σημαντικός πελάτης/προμηθευτής: ................... τηλ: ...............
4. ΠΟΙΟΣ ΑΠΟΦΑΣΙΖΕΙ ΚΑΙ ΠΟΙΟΣ ΜΙΛΑ;
Αποφασίζει (απενεργοποίηση, επαναφορά, αναφορά, πληρωμή): ..........................
Μιλά με πελάτες, τύπο, προσωπικό: ........................................
Τηρεί το ημερολόγιο καταγραφής: .....................................................
5. ΠΟΥ ΒΡΙΣΚΕΤΑΙ ΤΙ;
Αντίγραφα ασφαλείας: .............................. (τελευταία δοκιμή: ..-..-....)
Έκτακτη πρόσβαση στον διαχειριστή κωδικών πρόσβασης: ...........................................
Λίστα συστημάτων και λογαριασμών: ..........................................
Αυτό το σχέδιο (ψηφιακά) + αντίγραφο εκτός της επιχείρησης: ..............................Μερικές επιλογές σε αυτό το πρότυπο αξίζουν εξήγηση.
- «Μην το κλείσετε, αλλά αποσυνδέστε το.» Σε περίπτωση ransomware, το ολλανδικό NCSC συμβουλεύει να αποσυνδέετε αμέσως μια προσβεβλημένη συσκευή από το δίκτυο (καλώδιο, wifi, κινητό δίκτυο), αλλά να μην την απενεργοποιείτε· η αναστολή λειτουργίας (sleep) επιτρέπεται. Στη μνήμη λειτουργίας υπάρχουν ίχνη που ενδέχεται να χρειαστεί ένας ερευνητής, και μερικές φορές ακόμη και κλειδιά αποκρυπτογράφησης. Η αποσύνδεση σταματά τη διάδοση προς άλλες συσκευές και προς τον δίσκο δικτύου.
- «Μην συνδέετε τους δίσκους αντιγράφων ασφαλείας.» Ένας δίσκος που συνδέεται σε έναν μολυσμένο υπολογιστή θα κρυπτογραφηθεί κι αυτός. Πρέπει πρώτα να επιβεβαιωθεί ότι το περιβάλλον είναι καθαρό (μάθημα 8.3).
- «Η αναφορά είναι πάντα σωστή επιλογή.» Ο εργαζόμενος που παρατηρεί πρώτος κάτι είναι η καλύτερή σας άμυνα. Αν φοβάται ότι θα επιπληχθεί, θα περιμένει και θα χάσετε πολύτιμες ώρες. Δείτε επίσης μάθημα 9.2.
- Αριθμοί τηλεφώνου σε χαρτί. Ακριβώς σε περίπτωση μεγάλου περιστατικού, το email σας, το κοινόχρηστο ημερολόγιό σας και μερικές φορές ακόμη και το τηλεφωνικό σας κέντρο ενδέχεται να μη λειτουργούν. Μια κάρτα που υπάρχει μόνο στο cloud τότε χάνεται.
Σε περίπτωση κινδύνου για τη ζωή ή την περιουσία καλέστε αμέσως το 112 ή το 100 (Ελληνική Αστυνομία), όμως μια κυβερνοεπίθεση συνήθως δεν αποτελεί τέτοια επείγουσα περίπτωση· για την καταγγελία απευθύνεστε στη Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος (https://www.cyberalert.gr/).
Ρόλοι: ποιος κάνει τι
Σε μια μικρή επιχείρηση, συχνά ένα μόνο άτομο κάνει τα πάντα. Συμφωνήστε ωστόσο τρεις ρόλους, ακόμη κι αν δύο από αυτούς αντιστοιχούν στο ίδιο πρόσωπο:
- Ο αποφασίζων. Αποφασίζει για την απενεργοποίηση, την επαναφορά, τη γνωστοποίηση στην ΑΠΔΠΧ, την επικοινωνία με την τράπεζα, και το αν θα κληθεί εξωτερικός ειδικός. Κατά προτίμηση ο ιδιοκτήτης ή ο διευθυντής, με έναν σταθερό αναπληρωτή.
- Η τεχνική γραμμή. Ο προμηθευτής πληροφορικής σας, ο κατασκευαστής του ιστότοπου ή ο συνάδελφος που ξέρει από τεχνολογία. Κάνει ό,τι ζητά ο αποφασίζων και συμβουλεύει. Συμφωνήστε εκ των προτέρων αν ο προμηθευτής πληροφορικής σας βοηθά και σε περίπτωση περιστατικού, πόσο γρήγορα, και τι κοστίζει αυτό· αυτό είναι θέμα του μαθήματος 7.2.
- Ο επικοινωνιολόγος. Μιλά με πελάτες, προσωπικό και ενδεχομένως τον τύπο, ώστε να υπάρχει μία ενιαία εκδοχή προς τα έξω. Σε περίπτωση παραβίασης δεδομένων, σε αυτό περιλαμβάνεται και η ενημέρωση των θιγόμενων (μάθημα 8.2).
Ορίστε επίσης κάποιον που θα τηρεί ένα ημερολόγιο καταγραφής: ώρα, τι συνέβη, ποιος τι αποφάσισε. Αυτό μπορεί να φαίνεται γραφειοκρατικό, αλλά θα το χρειαστείτε για τη γνωστοποίηση στην ΑΠΔΠΧ (που ρωτά πότε ανακαλύψατε την παραβίαση και τι κάνατε), για την ασφαλιστική σας εταιρεία, για την καταγγελία και για την αποτίμηση εκ των υστέρων.
Το σχέδιο: μερικές γραμμές ανά τύπο περιστατικού
Πέρα από την κάρτα, γράψτε για κάθε συχνό περιστατικό μια σύντομη προσέγγιση. Τέσσερα είναι αρκετά για να ξεκινήσετε:
| Περιστατικό | Πρώτα βήματα | Στη συνέχεια |
|---|---|---|
| Λογαριασμός email παραβιασμένος (παράξενα email που στάλθηκαν, ο κωδικός πρόσβασης δεν λειτουργεί) | Αλλαγή κωδικού πρόσβασης από άλλη, καθαρή συσκευή· αποσύνδεση όλων των συνεδριών· έλεγχος κανόνων προώθησης και φιλτραρίσματος· ενεργοποίηση 2FA | Ειδοποίηση επαφών· έλεγχος ποια email διαβάστηκαν ή στάλθηκαν (πιθανή παραβίαση δεδομένων, μάθημα 8.2) |
| Ransomware | Αποσύνδεση, όχι απενεργοποίηση· αποσύνδεση αντιγράφων ασφαλείας· κλήση τεχνικής υποστήριξης· καμία πληρωμή | Μάθημα 8.3: έρευνα, καθαρή επαναφορά, καταγγελία, No More Ransom |
| Χαμένο laptop ή τηλέφωνο | Κλείδωμα ή διαγραφή εξ αποστάσεως· αλλαγή κωδικών πρόσβασης αποθηκευμένων λογαριασμών· ανάκληση συνεδριών | Ήταν ο δίσκος κρυπτογραφημένος; Αν όχι: πιθανή παραβίαση δεδομένων (μάθημα 8.2) |
| Ύποπτη πληρωμή ή απάτη τιμολογίου | Άμεση κλήση στην τράπεζα (μια αναστροφή πληρωμής μπορεί να πετύχει μόνο αν ενεργήσετε γρήγορα)· κλήση προμηθευτή σε γνωστό αριθμό | Καταγγελία· μήπως παραβιάστηκε το mailbox του προμηθευτή ή το δικό σας; (μάθημα 1.2) |
Καταγράψτε επίσης ποια συστήματα είναι τα πιο σημαντικά, με σειρά προτεραιότητας. Στο Αρτοποιείο Example αυτό είναι για παράδειγμα: ταμείο και τερματικό πληρωμών, σημερινές παραγγελίες, email, λογιστική, ιστότοπος. Στην αποκατάσταση ξεκινάτε από την κορυφή. Δείτε επίσης RPO και RTO στο μάθημα 6.3.
Εξάσκηση: μισή ώρα γύρω από ένα τραπέζι
Ένα σχέδιο που δεν γνωρίζει κανείς δεν λειτουργεί. Μια άσκηση tabletop κοστίζει μισή ώρα: κάθεστε γύρω από ένα τραπέζι με τα άτομα που έχουν κάποιον ρόλο και αναπαριστάτε ένα σενάριο, χωρίς να αγγίξετε τίποτα. Ο συντονιστής (μπορείτε να είστε εσείς) περιγράφει βήμα προς βήμα τι συμβαίνει.
Παράδειγμα: «Είναι Παρασκευή, 16:30. Ο λογιστής λαμβάνει ένα email από έναν σταθερό προμηθευτή: το IBAN έχει αλλάξει, το εκκρεμές τιμολόγιο των 8.400 ευρώ παρακαλώ να σταλεί σήμερα στον νέο λογαριασμό. Τι κάνετε;» Και στη συνέχεια: «Είναι Δευτέρα. Ο προμηθευτής καλεί: δεν έχει λάβει τίποτα.» Σε κάθε βήμα ρωτάτε: ποιος κάνει τι, ποιον καλείτε, πού βρίσκεται αυτός ο αριθμός;
Στο τέλος, γράψτε τι έλειπε. Σχεδόν πάντα πρόκειται για έναν αριθμό τηλεφώνου, έναν κωδικό πρόσβασης που γνωρίζει μόνο ένα άτομο, ή ασάφεια για το ποιος αποφασίζει. Προσαρμόστε την κάρτα και βάλτε τη νέα ημερομηνία. Μία φορά τον χρόνο εξάσκηση και επανεξέταση της κάρτας είναι ένας καλός ρυθμός για μια μικρή επιχείρηση, καθώς και μετά από κάθε μεγάλη αλλαγή (νέος προμηθευτής πληροφορικής, νέο λογιστικό πρόγραμμα).
Στην πράξη: έτσι μοιάζει
Συμπεριλάβετε στην κάρτα σας και τα συγκεκριμένα σημεία όπου μπορείτε να παρέμβετε γρήγορα στους δικούς σας παρόχους. Στο WebOké, αυτό είναι για παράδειγμα: προβολή και αποσύνδεση ενεργών συνεδριών στο Το WebOké μου, το σχέδιο βημάτων «Ο ιστότοπός μου έχει παραβιαστεί» στον οδηγό του DirectAdmin, και η επαναφορά ενός αντιγράφου ασφαλείας. Σε άλλους παρόχους hosting, email και cloud υπάρχουν παρόμοιες λειτουργίες· αναζητήστε τες προτού τις χρειαστείτε, και σημειώστε πού βρίσκονται.
Σύνοψη
- Μια κάρτα αντιμετώπισης περιστατικών (ένα Α4, σε χαρτί) εξασφαλίζει ότι όλοι, στα πρώτα λεπτά, κάνουν το σωστό: αναφορά, αποσύνδεση αλλά όχι απενεργοποίηση, μη σύνδεση αντιγράφων ασφαλείας, καμία πληρωμή.
- Συμφωνήστε ρόλους: ποιος αποφασίζει, ποιος κάνει την τεχνική δουλειά, ποιος επικοινωνεί, ποιος τηρεί το ημερολόγιο καταγραφής.
- Γράψτε για κάθε συχνό περιστατικό μια σύντομη προσέγγιση και τη σειρά προτεραιότητας των σημαντικότερων συστημάτων σας.
- Φυλάξτε τους αριθμούς τηλεφώνου και το σχέδιο και εκτός των υπολογιστών σας.
- Εξασκηθείτε ετησίως μισή ώρα γύρω από ένα τραπέζι και ενημερώστε την κάρτα.
Κουίζ
Άσκηση
Άσκηση D8.1: Η δική σας κάρτα αντιμετώπισης περιστατικών. Πάρτε το πρότυπο από αυτό το μάθημα και συμπληρώστε το για τη δική σας επιχείρηση: πραγματικά ονόματα, αριθμούς τηλεφώνου και τοποθεσίες. Εκτυπώστε το, κρεμάστε το και τραβήξτε μια φωτογραφία για το τηλέφωνό σας. Στη συνέχεια, με έναν συνάδελφο (ή μόνοι σας), αναπαραστήστε το σενάριο IBAN από αυτό το μάθημα σε ένα τέταρτο, και σημειώστε τι σας έλειψε.
Άσκηση D8.1: Η δική σας κάρτα αντιμετώπισης περιστατικών
Ακολουθήστε αυτά τα βήματα: (1) Αντιγράψτε το παρακάτω υπόδειγμα (η σελίδα του μαθήματος το προσφέρει και σε εκτυπώσιμη μορφή, χωρίς αποστολή δεδομένων στον διακομιστή). (2) Συμπληρώστε πραγματικά ονόματα, τηλέφωνα και τοποθεσίες. Καλέστε τουλάχιστον έναν αριθμό για να επιβεβαιώσετε ότι είναι σωστός (για παράδειγμα τον αριθμό για απάτες της τράπεζάς σας, που συνήθως αναγράφεται στο πίσω μέρος της κάρτας σας ή στην εφαρμογή). (3) Εκτυπώστε την κάρτα, αναρτήστε την σε σταθερό σημείο και τραβήξτε μια φωτογραφία για το κινητό σας. Κρατήστε ένα αντίγραφο εκτός της επιχείρησης (στο σπίτι ή σε έμπιστο πρόσωπο). (4) Παίξτε, με έναν συνάδελφο ή μόνοι σας, σε ένα τέταρτο το σενάριο με τον IBAN από το μάθημα (tabletop άσκηση).
Τα τικ και οι σημειώσεις σας παραμένουν μόνο σε αυτό το πρόγραμμα περιήγησης· δεν τα στέλνουμε πουθενά. Αν έχετε εγγραφεί, αποθηκεύουμε στο Τα μαθήματά μου μόνο ότι έχετε ολοκληρώσει την άσκηση.
Περαιτέρω ανάγνωση
Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους λειτουργεί με παρόμοιο τρόπο.
- Εγχειρίδιο DirectAdmin 18.2: Η ιστοσελίδα μου έχει παραβιαστεί: σχέδιο ενεργειών
- Βοήθεια! Η ιστοσελίδα μου παραβιάστηκε. Πώς μπορώ να το διορθώσω ή να το αποτρέψω;
- Εγχειρίδιο WebOké 3.6: Προβολή ενεργών συνδέσεων και αποσύνδεση
- Ολλανδικό NCSC, Τι να κάνετε σε περίπτωση επίθεσης ransomware;: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
- Ολλανδικό NCSC, Σχέδιο αντιμετώπισης περιστατικών Ransomware (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
- Ελληνική Αστυνομία, Δίωξη Ηλεκτρονικού Εγκλήματος: https://www.cyberalert.gr/