Plan za incidente i kartica za incidente

Modul 8: Kad nešto pođe po zlu · Vrijeme čitanja: 10 minuta

Cilj učenja: Nakon ove lekcije moći ćete izraditi karticu za incidente i jednostavan plan za incidente koji funkcioniraju i kad Vam računala, e-pošta i telefonski imenik nisu dostupni.

Ključni pojmovi: incident, kartica za incidente, plan za incidente, uloge, popis kontakata, ograničavanje, čuvanje dokaza, komunikacija, čuvanje izvan mreže, vježbanje (tabletop)

Zašto ovo rješavate sada, a ne kad već gori

Zamislite: ponedjeljak ujutro, 07:45. Na računalu blagajne pekarnice Example pojavljuje se crveni zaslon s porukom da su sve datoteke šifrirane. Dijeljena mapa s narudžbama se ne otvara. Netko kaže: "Nazovite informatičara." Ali njegov broj nalazi se u kontaktima poštanskog sandučića, a taj sandučić je na istom računalu. Netko drugi želi odmah ugasiti računalo. Treća osoba počinje spajati disk sa sigurnosnom kopijom kako bi "sve vratila".

Sve tri reakcije su razumljive, a dvije od njih situaciju čine gorom. Tako to gotovo uvijek ide: pod pritiskom ljudi rade ono što im prvo padne na pamet. Incident je svaki događaj koji ugrožava dostupnost, pouzdanost ili povjerljivost Vaših podataka ili sustava: hakiran račun e-pošte, ransomware, izgubljeno prijenosno računalo, e-poruka s podacima kupaca poslana krivoj osobi, preuzeta web stranica.

Cilj plana nije da sve prođe glatko. Cilj je da u prvom satu ne napravite pogreške koje se više ne mogu popraviti i da znate koga nazvati.

Kartica za incidente i plan za incidente: razlika

Za poduzeće s dva do dvadeset zaposlenika kartica je najvažnija. Plan može biti kratak. Nizozemski NCSC ima opsežan plan odgovora na incidente za ransomware (vidi Dodatna literatura); njega možete uzeti kao polaznu točku i skratiti.

Što se nalazi na kartici za incidente

Dobra kartica odgovara na pet pitanja. U nastavku je predložak koji možete preuzeti.

KARTICA ZA INCIDENTE  Pekarnica Example            verzija: 1   datum: ..-..-....

1. PRIMJEĆUJETE NEŠTO ČUDNO?  (crveni zaslon, čudna poslana poruka, prijava ne uspijeva,
   nepoznato plaćanje, izgubljen laptop, podaci poslani krivom primatelju)
   -> Prijavite to ODMAH: ............................  tel: ...............
      Zamjena: ..........................................  tel: ...............
   Prijavljivanje je uvijek dobro. Nitko neće biti kriv.

2. PRVI KORACI (ne popravljajte sami)
   [ ] Izvucite mrežni kabel / isključite wifi / uključite način rada u zrakoplovu. NE gasite.
   [ ] Odspojite USB i diskove sa sigurnosnim kopijama. NE spajajte.
   [ ] Fotografirajte zaslon (telefonom).
   [ ] Zapišite: vrijeme, što ste vidjeli, što ste napravili.
   [ ] Ne plaćajte, ne odgovarajte iznuđivaču.

3. KOGA NAZIVAMO?
   IT podrška / administrator   ............................  tel: ...............
   Hosting / e-pošta            ............................  tel: ...............
   Banka (prijevara, 24/7)      ............................  tel: ...............
   Osiguravatelj (cyber)        ............................  polica: .............
   Policija (kaznena prijava)   192 ili 112
   Prijava povrede AZOP-u       azop.hr (u roku od 72 sata)
   Važan klijent/dobavljač: ...................  tel: ...............

4. TKO ODLUČUJE, A TKO GOVORI?
   Odlučuje (gašenje, vraćanje, prijava, plaćanje): ..........................
   Razgovara s klijentima, medijima, osobljem: ........................................
   Vodi zapisnik (log): .....................................................

5. GDJE SE ŠTO NALAZI?
   Sigurnosne kopije: .............................. (zadnji test: ..-..-....)
   Hitni pristup upravitelju lozinki: ...........................................
   Popis sustava i računa: ..........................................
   Ovaj plan (digitalno) + kopija izvan poduzeća: ..............................

Nekoliko odluka u ovom predlošku zaslužuje objašnjenje.

• "Ne gasite, ali odspojite." Kod ransomwarea nizozemski NCSC savjetuje da se pogođeni uređaj odmah odspoji s mreže (kabel, wifi, mobilna mreža), ali da se ne gasi; stanje mirovanja je u redu. U radnoj memoriji nalaze se tragovi koji mogu biti potrebni istražitelju, a ponekad i ključevi. Odspajanje zaustavlja širenje na druge uređaje i na mrežni disk.
• "Diskove sa sigurnosnim kopijama ne spajajte." Disk koji spojite na zaraženo računalo također će biti šifriran. Prvo mora biti sigurno da je okruženje čisto (lekcija 8.3).
• "Prijavljivanje je uvijek dobro." Zaposlenik koji prvi nešto primijeti Vaša je najbolja obrana. Ako se boji ukora, čekat će, a Vi gubite sate. Pogledajte i lekciju 9.2.
• Brojevi na papiru. Baš kod velikog incidenta Vaša e-pošta, dijeljeni kalendar, a ponekad i telefonska centrala ne rade. Kartica koja postoji samo u oblaku tada je nedostupna.

Broj 192 ili 112 koristi se za hitne slučajeve; za kaznenu prijavu obratite se policiji na njihovim službenim kanalima. Kod izravne opasnosti nazovite 112, ali cyber napad obično nije 112 slučaj.

Uloge: tko radi što

U malom poduzeću jedna osoba često radi sve. Ipak dogovorite tri uloge, čak i ako su dvije dodijeljene istom imenu:

1. Donositelj odluka. Odlučuje o gašenju, vraćanju, prijavi AZOP-u, kontaktu s bankom i pitanju treba li angažirati vanjskog stručnjaka. Najbolje vlasnik ili direktor, s stalnom zamjenom.
2. Tehnička linija. Vaš IT dobavljač, izrađivač web stranica ili vješt kolega. Izvršava što donositelj odluka zatraži i savjetuje. Unaprijed dogovorite pomaže li Vaš IT dobavljač i kod incidenta, koliko brzo i koliko to košta; to je pitanje za lekciju 7.2.
3. Komunikator. Razgovara s klijentima, osobljem i eventualno medijima, kako bi prema van išla jedna priča. Kod povrede osobnih podataka tu spada i obavještavanje pogođenih osoba (lekcija 8.2).

Odredite i osobu koja vodi zapisnik (log): vrijeme, što se dogodilo, tko je što odlučio. To djeluje birokratski, ali trebat će Vam za prijavu AZOP-u (koji pita kad ste otkrili povredu i što ste poduzeli), za osiguravatelja, za kaznenu prijavu i za naknadnu evaluaciju.

Plan: nekoliko pravila po vrsti incidenta

Osim kartice, napišite kratak pristup za svaki čest incident. Za početak su dovoljna četiri:

Zapišite i koji su sustavi najvažniji, po redoslijedu. Kod pekarnice Example to je npr.: blagajna i terminal za plaćanje, narudžbe za danas, e-pošta, knjigovodstvo, web stranica. Kod oporavka počinjete od vrha. Pogledajte i RPO i RTO u lekciji 6.3.

Vježbanje: pola sata za stolom

Plan koji nitko ne poznaje ne funkcionira. Tabletop vježba traje pola sata: sjedite za stolom s ljudima koji imaju ulogu i odigravate scenarij, bez diranja bilo čega. Voditelj (to možete biti i Vi sami) korak po korak opisuje što se događa.

Primjer: "Petak je, 16:30. Knjigovođa dobiva e-poruku od stalnog dobavljača: IBAN je promijenjen, nepodmireni račun od 8.400 eura molimo danas uplatiti na novi broj. Što radite?" A zatim: "Ponedjeljak je. Dobavljač zove: nije ništa primio." Kod svakog koraka pitajte: tko što radi, koga zovete, gdje se nalazi taj broj?

Nakon toga zapišite što je nedostajalo. Gotovo uvijek to je telefonski broj, lozinka koju zna samo jedna osoba, ili nejasnoća oko toga tko odlučuje. Prilagodite karticu i stavite novi datum na nju. Vježbanje jednom godišnje i pregled kartice dobar je ritam za malo poduzeće, kao i nakon svake veće promjene (novi IT dobavljač, novi knjigovodstveni program).

U praksi: tako to izgleda

U svoju karticu uvrstite i konkretna mjesta gdje kod vlastitih pružatelja usluga možete brzo intervenirati. Kod WebOké to je primjerice: pregled i odjava aktivnih sesija u Moj WebOké, vodič "Moja web stranica je hakirana" u DirectAdmin priručniku, i vraćanje sigurnosne kopije. Kod drugih pružatelja hostinga, e-pošte i clouda postoje slične funkcije; pronađite ih prije nego Vam zatrebaju i zapišite gdje se nalaze.

Sažetak

• Kartica za incidente (jedan A4 list, na papiru) osigurava da svi u prvim minutama naprave pravu stvar: prijave, odspoje ali ne ugase, ne spoje sigurnosne kopije, ništa ne plate.
• Dogovorite uloge: tko odlučuje, tko obavlja tehnički posao, tko komunicira, tko vodi zapisnik.
• Napišite kratak pristup za svaki čest incident i redoslijed Vaših najvažnijih sustava.
• Čuvajte brojeve i plan i izvan Vaših računala.
• Vježbajte godišnje pola sata za stolom i ažurirajte karticu.

Kviz

Zadatak

Zadatak D8.1: Vaša vlastita kartica za postupanje u slučaju incidenta. Preuzmite predložak iz ove lekcije i ispunite ga za svoje poduzeće: stvarna imena, brojevi i mjesta. Ispišite ga, objesite i fotografirajte za telefon. Zatim s jednim kolegom (ili sami) odigrajte IBAN scenarij iz ove lekcije u petnaestak minuta i zapišite što ste propustili.

Dodatna literatura

Koraci u WebOké člancima vrijede za WebOké okruženje; kod drugih pružatelja usluga postupak je sličan.

• DirectAdmin priručnik 18.2: Moja web stranica je hakirana: plan koraka
• Upomoć! Moja web stranica je hakirana. Kako to riješiti ili spriječiti?
• Priručnik za WebOké 3.6: Pregled aktivnih sesija i odjava
• Nizozemski NCSC, Što učiniti kod ransomware napada?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Nizozemski NCSC, Plan odgovora na incidente Ransomware (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• Policija, prijava kaznenog djela (i kod ransomwarea): https://policija.gov.hr/