Telefon od dyrektora IT o 6:40 rano. System księgowy nie działa, pracownicy nie mogą zalogować się do poczty, a na części komputerów pojawia się komunikat o zaszyfrowanych plikach. W takim momencie pytanie, jak zarząd reaguje na cyberatak, przestaje być zagadnieniem dla działu IT. Staje się sprawdzianem zdolności organizacji do podejmowania decyzji pod presją, ochrony ludzi, danych, klientów i ciągłości działania.
Największym błędem nie jest brak natychmiastowej odpowiedzi technicznej na każde pytanie. Błędem jest chaos decyzyjny: samodzielne komunikaty różnych osób, kasowanie śladów przez pracowników próbujących „naprawić” problem, przedwczesne zapewnienia dla klientów albo paraliż wywołany oczekiwaniem na pełną diagnozę. Zarząd nie musi sam analizować logów. Musi jednak stworzyć warunki, w których specjaliści mogą działać szybko, a firma nie pogłębia skutków incydentu.
Jak zarząd reaguje na cyberatak: pierwsze decyzje
Pierwsze godziny służą przede wszystkim ograniczeniu zasięgu szkody i ustaleniu podstawowych faktów. Czy incydent nadal trwa? Jakie systemy, dane i procesy biznesowe są zagrożone? Czy atak wpływa na obsługę klientów, produkcję, wypłaty, świadczenia medyczne lub usługi publiczne? Czy istnieje ryzyko wycieku danych osobowych, tajemnicy przedsiębiorstwa albo informacji finansowych?
Zarząd powinien od razu wskazać osobę odpowiedzialną za koordynację działań po stronie biznesowej. Nie musi być nią prezes. W praktyce lepiej sprawdza się członek zarządu lub dyrektor, który ma mandat do szybkiego zatwierdzania priorytetów, angażowania właściwych osób i usuwania przeszkód organizacyjnych. Dział IT lub zewnętrzny zespół bezpieczeństwa prowadzi analizę techniczną, natomiast koordynator dba o to, aby decyzje techniczne odpowiadały realnym potrzebom firmy.
Kluczowe jest też rozdzielenie dwóch spraw: przywracania działania oraz ustalania przyczyn. W wielu przypadkach konieczne jest odłączenie fragmentu infrastruktury, wyłączenie usług zdalnego dostępu albo czasowe przejście na procedury ręczne. Takie działania mogą być niewygodne operacyjnie, ale bywają mniej kosztowne niż dopuszczenie do dalszego szyfrowania danych lub przejęcia kolejnych kont.
Zarząd powinien oczekiwać krótkich, regularnych raportów opartych na faktach. Na przykład: co wiadomo, czego jeszcze nie wiadomo, jakie systemy objęto działaniem, jaki jest wpływ na biznes, jaka decyzja jest potrzebna i do kiedy. To lepsze niż wielostronicowe raporty tworzone wtedy, gdy każda minuta ma znaczenie.
Nie tylko problem IT, lecz problem zarządczy
Cyberatak może zacząć się od wiadomości phishingowej otwartej przez jednego pracownika, ale jego skutki rozchodzą się po całej organizacji. Dotyczą finansów, obsługi klienta, kadr, produkcji, działu prawnego, compliance, komunikacji i ochrony danych. Dlatego zarząd nie powinien traktować incydentu jako awarii przekazanej wyłącznie informatykowi.
Dobrze przygotowana reakcja obejmuje zespół, w którym każdy zna swoją rolę. IT zabezpiecza środowisko i gromadzi informacje techniczne. Osoby odpowiedzialne za dane osobowe oceniają, czy doszło do naruszenia i jakie obowiązki mogą z tego wynikać. Dział prawny pomaga ocenić konsekwencje umów, relacji z dostawcami i komunikacji zewnętrznej. HR wspiera kontakt z pracownikami, szczególnie gdy incydent dotyczy kont służbowych lub urządzeń wykorzystywanych poza biurem.
Zadaniem zarządu jest nadanie priorytetów. Czasami najważniejsze będzie utrzymanie działania oddziałów lub linii produkcyjnej. Innym razem priorytetem stanie się zabezpieczenie danych pacjentów, klientów banku czy mieszkańców korzystających z usług urzędu. Nie ma jednej właściwej kolejności dla każdej organizacji. Jest za to potrzeba wcześniejszego rozpoznania procesów krytycznych i zaakceptowania, które usługi muszą wrócić najpierw.
Komunikacja musi być szybka, ale nie pochopna
Milczenie wobec pracowników bywa ryzykowne. Jeśli ludzie nie wiedzą, co się stało i jak mają postępować, mogą logować się do podejrzanych systemów, korzystać z prywatnej poczty, przesyłać dokumenty niezatwierdzonymi kanałami albo informować klientów na własną rękę. Krótki komunikat wewnętrzny może ograniczyć te zagrożenia: wskazać, z jakich narzędzi nie korzystać, gdzie zgłaszać podejrzane wiadomości i kto przekazuje kolejne informacje.
Równie ważna jest dyscyplina komunikacji zewnętrznej. Zarząd powinien unikać deklaracji typu „dane na pewno nie wyciekły”, dopóki nie ma podstaw do takiego stwierdzenia. Utrata zaufania po nieprecyzyjnym komunikacie może być większa niż szkoda spowodowana samym przestojem. Komunikacja powinna być rzeczowa, adekwatna do potwierdzonych informacji i przygotowana wspólnie przez osoby odpowiedzialne za biznes, prawo oraz bezpieczeństwo.
Czego zarząd nie powinien robić podczas incydentu
Presja sprzyja decyzjom, które pozornie przyspieszają powrót do normalności, ale utrudniają opanowanie sytuacji. Pierwszą z nich jest wymuszanie natychmiastowego uruchomienia wszystkich systemów bez sprawdzenia, czy środowisko jest bezpieczne. Zainfekowana infrastruktura może ponownie zostać zaatakowana, a odzyskane dane mogą zostać zaszyfrowane po raz drugi.
Drugim błędem jest szukanie winnego, zanim organizacja zatrzyma incydent. Rozliczenie przyczyn i zachowań powinno nastąpić później, na podstawie ustaleń. W pierwszej fazie pracownik, który kliknął w fałszywy link, może posiadać ważne informacje o przebiegu zdarzenia. Atmosfera oskarżeń zachęca do ukrywania błędów, a nie do szybkiego zgłaszania problemów.
Trzecim ryzykiem jest podejmowanie decyzji o płatności okupu wyłącznie na podstawie emocji. Taka decyzja ma konsekwencje prawne, operacyjne i reputacyjne. Sama zapłata nie daje pewności odzyskania danych ani usunięcia skradzionych kopii. Wymaga chłodnej oceny dostępnych kopii zapasowych, skali przestoju, charakteru danych i rekomendacji ekspertów.
Wreszcie zarząd nie powinien zakładać, że incydent jest zamknięty tylko dlatego, że systemy znów działają. Przywrócenie usług nie jest równoznaczne z usunięciem przyczyny ataku. Trzeba potwierdzić, czy napastnik nie zachował dostępu, jakie konta wymagają zabezpieczenia oraz czy nie doszło do wycieku danych.
Po opanowaniu ataku: decyzje, które zmniejszają ryzyko powtórki
Gdy sytuacja jest stabilna, warto przeprowadzić uporządkowane omówienie incydentu. Nie jako formalność do szuflady, lecz jako materiał do konkretnych decyzji. Zarząd powinien otrzymać odpowiedzi na kilka pytań: przez jaki punkt wszedł atakujący, dlaczego mechanizmy ochronne nie zatrzymały ataku wcześniej, co zadziałało dobrze oraz które procesy wydłużyły reakcję.
Wnioski często nie dotyczą wyłącznie technologii. Mogą pokazać, że pracownicy nie wiedzieli, gdzie zgłaszać phishing, kadra kierownicza nie miała aktualnej listy kontaktów kryzysowych, procedura odtwarzania danych nie była ćwiczona albo dział biznesowy nie określił, które systemy są krytyczne. W organizacjach objętych wymogami NIS2 i RODO takie luki mają również znaczenie w obszarze odpowiedzialności i dokumentowania działań.
Najbardziej wartościowe są działania przypisane do właścicieli i terminów. Może to być aktualizacja zasad dostępu, sprawdzenie kopii zapasowych, uporządkowanie kanałów komunikacji kryzysowej czy praktyczne szkolenie dla zespołów szczególnie narażonych na socjotechnikę. Ogólne zalecenie „zwiększyć świadomość” nie zmienia zachowań. Pracownik musi wiedzieć, jak wygląda fałszywa prośba o przelew, co zrobić po kliknięciu w link i dlaczego nie wolno omijać procedur pod presją pilnego polecenia od rzekomego przełożonego.
Szkolenie zarządu powinno odzwierciedlać realne ryzyko
Kadra zarządzająca nie potrzebuje szkolenia z technicznych szczegółów każdego rodzaju złośliwego oprogramowania. Potrzebuje przećwiczyć decyzje, które podejmuje w pierwszych godzinach: kto ma mandat do działania, jakie informacje są niezbędne, kiedy angażować prawo i ochronę danych, jak komunikować się z pracownikami oraz jak oceniać wpływ incydentu na biznes.
Dobre warsztaty dla zarządu opierają się na scenariuszu bliskim branży organizacji. Inaczej będzie wyglądał atak blokujący rejestrację pacjentów, inaczej próba wyłudzenia płatności w firmie produkcyjnej, a jeszcze inaczej przejęcie skrzynki dyrektora finansowego w MŚP. Taki trening nie zastępuje zabezpieczeń technicznych, ale skraca czas potrzebny na podjęcie właściwej decyzji wtedy, gdy stawką są dane, pieniądze i wiarygodność firmy.
Najlepszy moment na ustalenie sposobu działania zarządu nie przypada na poranek po ataku. Przypada wtedy, gdy organizacja działa spokojnie i może bez presji ustalić role, priorytety oraz pierwsze komunikaty. To właśnie te przygotowane wcześniej decyzje dają zespołowi szansę zareagować odpowiedzialnie, zamiast tylko reagować szybko.
