После очередного громкого взлома руководство закономерно спрашивает, возможно ли такое у нас. ИТ и ИБ стоит самим начинать этот разговор. Сначала договориться между собой о рисках и возможных действиях, затем вместе с бизнесом определить, кто и какие решения вправе принимать.

Binance пришлось останавливать вывод средств, а после его возобновления клиенты продолжили забирать деньги. В Японии из-за уязвимостей PHP превентивно отключали сайты и отдельные государственные сервисы. После атаки на «Аэрофлот» отменялись рейсы. Даже необходимые защитные меры могут остановить расчёты, продажи, обслуживание клиентов. Поэтому ещё до инцидента нужно понимать, какие последствия компания готова принять.

Допустим, ИТ и ИБ разобрали, в каких случаях потребуется отключить интеграцию с платёжной системой, остановить сервис или изолировать площадку. Технически всё понятно. Но кто принимает такое решение? Кто может разрешить отключение целого ЦОДа? С этими вопросами и нужно идти к топ-менеджменту. Объяснить, чем рискуем, если продолжаем работать, и что теряем, если отключаемся. Договориться о полномочиях, пока есть время обсудить последствия.

Меня здесь больше интересует именно план аварийного отключения. Представим, что на площадке видят разрушительную активность, которую не удаётся остановить доступными средствами. А связи нет. Причём не только корпоративной, связь может отсутствовать во всём городе. Руководитель недоступен, спросить не у кого. Может ли сотрудник на месте отключить питание и погасить серверы? Какие признаки дают ему право на такое действие? Или он обязан ждать, пока ущерб продолжает расти?

Ответ нельзя оставлять на усмотрение человека, который оказался рядом с электрощитом. Ему нужны заранее согласованные условия и полномочия. И понимание, что, действуя в этих пределах, он выполняет принятое компанией решение. То же самое касается дежурной смены, которая может остановить сервис, разорвать интеграцию или отключить площадку от сети.

Вот над чем ИТ и ИБ нужно вместе работать с бизнесом. Какие действия мы подготовили, что можем потерять при отключении, кто принимает решение и что делать, если связаться с ним невозможно. Топ-менеджмент не должен сам собирать эти вопросы по подразделениям. С ними нужно прийти к нему заранее, а принятые решения довести до тех, кому предстоит действовать на месте.

Обещать, что нас не взломают, я бы не стал. Кого-нибудь из нас обязательно взломают. И в ближайшее время. Вопрос в другом. Кто как к этому подготовится и кто как будет на это реагировать.