Имате архив, но можете ли да възстановите бизнеса след ransomware?

Представете си онлайн магазин с екип във Варна: файловете се копират всяка вечер, но достъпът до архива е само в акаунта на администратора. При проблем никой друг не знае откъде започва възстановяването. Това е примерна ситуация, а не реален клиентски казус.

Ръководството StopRansomware на CISA препоръчва офлайн, криптирани архиви на критичните данни и редовна проверка на тяхната наличност и цялост чрез сценарий за възстановяване. Съществената разлика е между „има копие“ и „екипът може да го използва“.

Преди теста напишете кои операции трябва да се възстановят първи: приемане на поръчки, достъп до текущи заявки или работа по клиентски проекти. Не започвайте с всички папки. Започнете с процеса, без който екипът не може да обслужва хората.

За всяка операция посочете зависимостите: база данни, файлове, настройки, домейн, външни интеграции и необходимите права. Запишете каква загуба на последни промени можете да понесете и какъв срок за възстановяване е приемлив. Това са ваши бизнес цели, не обещания на доставчика.

Изберете тестово копие и човек, който има право да извърши възстановяването. Не го стартирайте върху работещия сайт. Когато е възможно, използвайте обезличени данни и ограничете достъпа до тестовата среда.

Изключете реалните имейли, плащания и автоматични заявки към партньори. Иначе тестовото възстановяване може да изпрати стари съобщения или да повтори действие. Уточнете предварително как ще различавате тестовата среда от продукционната и кой ще я премахне след проверката.

Запишете началния час, използваното копие и последната налична дата на данните. Възстановете системата по описаните стъпки. Проверете отварянето на основните страници, достъпа с тестов потребител и наличността на избрани записи.

При магазин използвайте тестова поръчка без истинско плащане. При информационен сайт проверете съдържанието и контактната форма с изключена доставка. Отбележете всяка липсваща настройка, непозната парола или външна зависимост. Ако нещо се поправя на ръка, добавете го към процедурата.

Сравнете резултата с предварителните цели. Ако връщането отнема повече време от допустимото, отчетете разликата. Не записвайте „успешен архив“ само защото началната страница се е отворила.

При реално подозрение за ransomware включете специалист по реакция при инциденти. CISA включва изолиране на засегнатите системи в своя план за отговор. Възстановяването трябва да се координира с установяването на обхвата и причината, за да не върнете услугата в същото компрометирано състояние.

Архивът не отменя риска данни да са били откраднати. Разделете задачите по възстановяване, разследване и комуникация. Не обещавайте, че наличието на резервно копие прави организацията защитена от всички последици.

Направете кратък протокол: какво възстановихте, колко време отне, какво липсваше и кой трябва да го поправи. Определете следващ тест след съществена промяна по системата. Полезният документ е този, който друг упълномощен човек може да изпълни, без да гадае.

Тествайте работещ процес, а не само наличието на файлове.

Пазете тестовата среда отделена от реалните плащания и съобщения.

Възстановяването и разследването на пробив са различни задачи.