Mellem den 7. og 12. august hentede ukendte angribere data ud fra to af en europæisk hovedstads forvaltninger: byggeri og bolig samt trafik og miljø. Den 14. august blev forvaltningerne koblet fra landsnettet. Hackergruppen krævede to millioner euro i løsesum. Borgmesteren erklærede, at delstaten ikke lader sig afpresse.
1,4 mio. filer på darkweb
Da fristen udløb, offentliggjorde gruppen det, de selv opgør til 1,4 millioner filer på darkweb. Natten efter fulgte endnu en pakke, der blandt andet indeholdt adgangsoplysninger. Forvaltningen skærpede sine foranstaltninger.
Ifølge flere medier kunne lækket rumme dokumenter om civilbeskyttelse og kritisk infrastruktur. Den officielle vurdering fra parlamentets indenrigsudvalg: Delstaten vurderer ikke, at data med betydning for national sikkerhed er stjålet eller offentliggjort. Kun data på den laveste af fire klassifikationsgrader er berørt. Nogle filer, der så følsomme ud ved første øjekast, viste sig at være parkeringstilladelser.
Gennemgangen af mere end 1,2 millioner filer fortsætter.
Koordineringen begyndte før offentliggørelsen
Allerede dagen før hackernes offentliggørelse meddelte delstaten, at identificerede berørte ville blive informeret risikobaseret. En koordineringsenhed blev oprettet med politi og datatilsyn. Den koordinerer gennemgangen og støtter forvaltningerne i at informere de berørte.
Den tilgang er værd at bemærke. Mange organisationer venter med at forberede kommunikationen, til de ved mere. Her begyndte forberedelsen, inden filerne var offentliggjort. Det er forskellen mellem at reagere og at være klar til at reagere.
Afslaget afsluttede ikke arbejdet. Det startede det.
Gennemgangen skal afklare, hvilke oplysninger der er berørt, hvilke konsekvenser det kan få, og hvem der skal have besked. Den første vurdering træffes med ufuldstændige oplysninger og revideres, når nye fund kommer til. Det er ikke en svaghed. Det er processen.
Ved brud på persondatasikkerheden skal den dataansvarlige anmelde til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer efter kendskab til bruddet. Fuldt overblik er ikke en forudsætning. Mange organisationer udsætter anmeldelsen, fordi de vil vide mere. Men fristen løber fra kendskab, ikke fra afklaring.
Tre ting at gøre nu
Udvælg fem filområder, hvor et læk kan få alvorlige følger. Registrér ansvarlig, oplysningstyper og berørte grupper. Også når dokumenterne handler om kunders eller partneres systemer, ikke kun jeres egne.
Afklar på forhånd, hvem der vurderer anmeldelse til myndigheder, underretning af berørte og besked til samarbejdspartnere. Fastlæg kriterier, kontaktveje og frister, før et brud sker. Når det sker, er der ikke tid til at finde ud af, hvem der beslutter.
Øv, hvordan I træffer de første beslutninger med ufuldstændige oplysninger. Og hvordan vurderingen opdateres, når nye fund kommer til. Den proces kan ikke improviseres under pres.
En uafhængig cybersikkerhedsaudit kan afdække, om jeres beredskab dækker kommunikation, anmeldelse og koordinering med myndigheder. En IT-sikkerhedspolitik sikrer, at rollerne og beslutningsvejene er på plads, før krisen rammer.
Hvis I i morgen fik at vide, at filer fra jeres systemer lå på nettet, hvem skulle så træffe de første beslutninger, og på hvilket grundlag?
Har du brug for en gennemgang af jeres kriseberedskab?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
