Кибератака не должна стать первым знакомством SOC, NOC и поддержки пользователей.

Мы входим в период, когда неожиданно недоступным может стать отдельный компьютер, корпоративная система, целый банк или государственный сервис. Из-за самой атаки или из-за мер, которыми её останавливают. Для поддержки пользователей готовность работать в таких условиях становится частью повседневной работы.

Я смотрю на это с позиции руководителя службы, которая помогает сотрудникам компании пользоваться ИТ-системами.

Бизнес может отключаться мозаично. Здесь доступ ещё есть, там уже нет. Привычная система недоступна, соседняя работает, но зависит от неё. Сотруднику нужно понять, как продолжать работу. И с этим он придёт в поддержку.

Мне нужно заранее разобраться, что моя служба сможет для него сделать.

Прежде всего знать, куда идти за достоверной информацией. Кто ведёт инцидент, как связаться со специалистами информационной безопасности, куда обратиться, если обычный маршрут не отвечает. Где получить подтверждённый статус, когда корпоративная почта и привычные чаты тоже недоступны.

У поддержки должен быть свой план реагирования, согласованный с общим. С простыми инструкциями и понятными полномочиями. Что проверить при обращении сотрудника. Какие сведения собрать и кому передать. Что инженер вправе изолировать самостоятельно, а для чего нужно решение ответственного. Какие временные способы работы разрешены.

В таком плане могут оказаться и непривычные действия. Отключение компьютера директора. Остановка сервиса или целого сегмента сети. В крайнем случае снятие питания с оборудования. Для каждого действия должны быть определены основания, исполнитель и последствия. Сетевая изоляция и выключение питания требуют разных решений.

Столь же важно понимать, кто и при каких условиях разрешает возвращать систему в работу.

SOC, центр мониторинга и реагирования на инциденты ИБ, и NOC, центр эксплуатации сети, должны взаимодействовать с эксплуатацией систем и поддержкой пользователей. Нужно знать ответственных людей и пройти эти сценарии вместе.

Я могу начать со своей стороны. Проверить контакты и порядок эскалации, обсудить полномочия дежурной смены, разобрать с коллегами, как действовать при частичной недоступности систем и что сообщать сотрудникам.

Отдельно нужно наладить прохождение сообщений из контура ГосСОПКА, уведомлений НКЦКИ и бюллетеней производителей об угрозах и уязвимостях. Кто проверяет, касается ли угроза нашей инфраструктуры, кто принимает решение и как необходимые указания доходят до поддержки. Полученное предупреждение должно превращаться в действие.

Предсказать каждый следующий инцидент я не могу. Но могу подготовить свою службу так, чтобы в момент сбоя у инженера были разрешённые действия, источник информации и понятный путь эскалации. Тогда сотрудник компании сможет получить помощь даже там, где привычный сервис пока недоступен.