Stërvitje me bisedë: Errësira Dixhitale

Çfarë është ky ushtrim

Kjo është një stërvitje me bisedë, në fushën e sigurisë njihet si ushtrim tabletop (TTX): një bisedë e menduar, jo një provim. Askush nuk prek një kompjuter të vërtetë dhe asgjë që thua këtu nuk vlerësohet me notë. Lexon një histori të shkurtër, ajo ndalon në pesë pika, dhe në çdo ndalesë grupi flet për atë që do të bënte vërtet. Qëllimi është të vësh re boshllëqet e një plani kur gjithçka është e qetë, që një mëngjes i vështirë i vërtetë të jetë pak më pak i frikshëm.

Emrat dhe kompania janë të sajuar. Çdo ngjashmëri me një biznes real është rastësi.

Konteksti

Klinika Dentare Iliria sh.p.k. është një klinikë e vogël private dentare në Durrës. Ka një sportel pritjeje, tre dentistë dhe pak asistentë. Gjithçka mbi të cilën funksionon klinika jeton në një llogari të vetme në renë kompjuterike: kutia e përbashkët e postës ku shkruajnë pacientët, dosja me listat e takimeve dhe shënimet e pacientëve, dhe kredencialet që i lejojnë punonjësit të hyjnë çdo mëngjes. Një person e ngriti të gjithën vite më parë dhe nuk e ndryshoi kurrë këtë rregullim.

Ekipi yt i përgjigjes janë tre persona që ndodhen në ndërtesë.

• Besa, menaxherja e zyrës, që e di ku mbahej dikur ditari në letër.
• Ardit, dentisti që është më i miri me kompjuterat dhe në mënyrë jozyrtare u zgjidh të gjithëve problemet.
• Lira, asistentja më e re, që ende e ka listën e telefonave të klinikës të ruajtur në telefonin e saj personal.

Injekti 1, e hënë 08:10

Klinika hapet në orën tetë. Besa ulet, hap kutinë e përbashkët të postës dhe del automatikisht. Shtyp fjalëkalimin që ka përdorur gjithmonë dhe ai refuzohet. Ardit provon nga një kompjuter tjetër dhe ndeshet me të njëjtin mur. Dosja e takimeve që duhet të tregojë pacientët e sotëm nuk hapet për askënd. Brenda dhjetë minutash bëhet e qartë se kjo nuk është një hyrje e prishur. Askush nuk mund të futet askund, posta hesht, dhe pacientët e parë janë tashmë në sallën e pritjes.

Diskuto:

• Cila është gjëja e parë që ky ekip duhet të bëjë në pesë minutat e para, para se dikush të përpiqet ta "rregullojë" duke hamendësuar sërish fjalëkalime?
• Si do të vazhdonte klinika të priste pacientë këtë mëngjes pa listë takimesh dhe pa të dhëna në ekran?
• Kush ka autoritetin të shpallë se diçka është seriozisht keq, dhe a e di ndokush këtu se ai person është vetë?

Injekti 2, e hënë 08:40

Ardit arrin te faqja e rikuperimit të llogarisë dhe kupton se çfarë ndodhi. Gjatë natës dikush hyri në llogarinë kryesore të administratorit, llogaria e vetme që kontrollon kutinë e postës, dosjet dhe hyrjet e të gjithëve. Ajo llogari nuk kishte kurrë të ndezur vërtetim me shumë faktorë (MFA), kështu që një fjalëkalim i vjedhur ishte e vetmja gjë që qëndronte në rrugë. Sulmuesi ndryshoi fjalëkalimin, fiku llogaritë e punonjësve të tjerë, dhe dosjet e përbashkëta thjesht u zhdukën nga pamja. Çdo llogari e zakonshme në klinikë varej nga ajo llogari e vetme administratori, dhe ajo ishte më e pambrojtura nga të gjitha.

Diskuto:

• Nga të gjitha llogaritë në klinikë, pse llogaria e administratorit ishte ajo që kishte më shumë nevojë për vërtetim me shumë faktorë (MFA)?
• Nëse MFA do të kishte qenë e ndezur në atë llogari, si do të shkonte ky mëngjes ndryshe?
• Cilat llogari të tjera në jetën ose punën tënde mbajnë "çelësat e gjithçkaje," dhe a janë të mbrojtura më mirë se sa kjo?

Injekti 3, e hënë 09:15

Ekipi ka nevojë të organizohet, por mjetet që normalisht do të përdornin për të folur me njëri-tjetrin, posta e klinikës dhe biseda e brendshme, janë pikërisht ato që nuk punojnë. Kthehen te telefonat personalë. Ndërkohë, Lirës i vjen një mesazh në numrin publik të klinikës nga dikush që thotë se është nga ofruesi i programit të klinikës, që telefonon për "incidentin," dhe i kërkon të lexojë me zë një kod rikuperimi që ata ta "rikthejnë aksesin më shpejt." Zëri është i qetë dhe e di emrin e klinikës. Askush nuk mund të kontrollojë nëse ky person është i vërtetë, sepse sistemet që do ta konfirmonin janë ato që nuk punojnë.

Diskuto:

• Me postën dhe bisedën jashtë funksionit, cili është një kanal i veçantë e i besuar që ekipi kishte rënë dakord paraprakisht për t'u koordinuar, dhe a kishin rënë dakord fare për një të tillë?
• Telefonuesi mund të jetë një ndihmës i vërtetë ose një sulmues që përdor kaosin si mbulesë. Si e verifikon se dikush është vërtet ai që pretendon të jetë para se t'i dorëzosh diçka?
• Cila është rregulla për të lexuar me zë kode ose fjalëkalime ndaj kujtdo që telefonon, edhe gjatë një emergjence, dhe kush lejohet ta thyejë?

Injekti 4, e hënë 10:00

Paniku ulet te një pyetje më e vështirë: sa larg mbrapa mund të rikuperohet klinika? Besa kujton se ditari i takimeve mbahej dikur në letër dhe ndoshta është ende në një sirtar. Askush nuk është i sigurt nëse dosjet e pacientëve u ruajtën ndonjëherë diku jashtë llogarisë në renë kompjuterike që sulmuesi tani kontrollon. Kur Ardit pyet nëse ka një plan të shkruar pikërisht për këtë situatë, një faqe që thotë kush telefonon kë dhe në çfarë radhe, dhoma bie në heshtje. Dija është e gjitha në kokat e njerëzve, dhe këtë mëngjes disa nga ata njerëz janë të zënë me pacientë.

Diskuto:

• A ekziston një kopje rezervë e dosjeve të pacientëve dhe e listave të takimeve diku ku llogaria e administratorit nuk arrin dot, dhe si do ta merrje vesh sot?
• Nëse nuk ka një plan të shkruar për incidentet, cilat janë pesë rreshtat që do t'i duheshin për të qenë i dobishëm herën tjetër?
• Një kopje rezervë është e vërtetë vetëm nëse ke rikuperuar prej saj më parë. Kur ishte hera e fundit që ndokush në këtë klinikë kontrolloi që një rikuperim vërtet funksionon?

Injekti 5, e hënë 11:00

Nga fundi i mëngjesit klinika e ka ndalur gjakderdhjen: punonjësit po punojnë nga ditari në letër, dhe Ardit ka nisur një rikuperim të rregullt të llogarisë së administratorit përmes ofruesit. Tani Besa ngre diçka që askush nuk e ka menduar. Ky ishte një sulm i vërtetë ndaj një klinike që mban të dhëna pacientësh, dhe ekziston një autoritet kombëtar kibernetik, që duhet të dëgjojë për incidente si ky. Askush nuk është i sigurt se çfarë duhet raportuar, deri kur, apo kush e nënshkruan. Instinkti në dhomë është të pastrohet gjithçka në heshtje dhe të mos i thuhet askujt, dhe ekipi duhet të vendosë nëse ai instinkt është i drejtë.

Diskuto:

• Çfarë informacioni duhet të jetë duke shkruar ekipi pikërisht tani, sa është i freskët, që një raport te autoriteti kombëtar kibernetik të jetë i mundur më vonë?
• Kush në klinikë është përgjegjës për të bërë raportin, dhe çfarë e ndalon këtë përgjegjësi të rrëshqasë e të harrohet?
• Përtej detyrimit ligjor, çfarë fiton klinika duke raportuar në vend që ta fshehë incidentin?

Përmbledhja

Kthehu mbrapa nëpër mëngjes dhe vër re se me cilën ide të kursit lidhej vërtet çdo injekt.

• Injekti 1 kishte të bënte me disponueshmërinë. Kur gjithçka varet nga një llogari e vetme, humbja e saj rrëzon të gjithë klinikën menjëherë, dhe puna e parë është të mbetesh i qetë dhe të mos e keqësosh më.
• Injekti 2 kishte të bënte me vërtetimin dhe pse vërtetimi me shumë faktorë (MFA) ka më shumë rëndësi te llogaria që kontrollon të gjitha të tjerat. Llogaria më e fuqishme është ajo që një sulmues e do më shumë, prandaj i duhet bllokimi më i fortë, jo më i dobëti.
• Injekti 3 kishte të bënte me pasjen e një kanali të veçantë e të besuar të rënë dakord paraprakisht, dhe me imitimin e identitetit. Një krizë është pikërisht momenti kur një telefonatë phishing ose një ndihmës i rremë funksionon më mirë, sepse të gjithë janë me nxitim dhe askush nuk mund të kontrollojë. Verifiko identitetin para se të besosh, sidomos atëherë.
• Injekti 4 kishte të bënte me kopjet rezervë dhe një plan të shkruar për incidentet. Një kopje rezervë që sulmuesi e arrin dot nuk është kopje rezervë, dhe një plan që jeton vetëm në kokat e njerëzve nuk është plan.
• Injekti 5 kishte të bënte me raportimin te autoriteti kombëtar kibernetik. Regjistrimi i asaj që ndodhi dhe njoftimi i organit të duhur është pjesë e trajtimit të një incidenti, jo një pranim dështimi.

Tani vlerëso besimin tënd nga 1 deri në 5 sërish.