صبح کاری شروع شده است، اما نرم‌افزار مالی باز نمی‌شود، فایل‌های اشتراکی در دسترس نیستند و روی یکی از سرورها پیام باج‌خواهی دیده می‌شود. سؤال مدیر فقط این نیست که «چگونه فایل‌ها را باز کنیم؟»؛ باید بداند چه فعالیتی متوقف شده، چه کسی تصمیم می‌گیرد و چگونه می‌توان خدمات ضروری را با اطمینان برگرداند.

باج‌افزار مسئله‌ای فراتر از نصب آنتی‌ویروس است. آمادگی سازمان به ترکیبی از کنترل دسترسی، امنیت شبکه، پایش، نسخه پشتیبان قابل بازیابی و یک برنامه تمرین‌شده وابسته است. این راهنما برای مدیران و مسئولان آی‌تی نوشته شده تا درباره این آمادگی، پرسش‌های روشن و قابل بررسی مطرح کنند.

۱. باج‌افزار فقط قفل شدن چند فایل نیست

باج‌افزار می‌تواند دسترسی به داده یا سامانه را مختل کند و در بعضی حوادث با سرقت اطلاعات و تهدید به انتشار آن همراه باشد. بنابراین بازگرداندن یک نسخه پشتیبان، همه پیامدهای احتمالی حادثه را برطرف نمی‌کند. بررسی دامنه نفوذ، محرمانگی اطلاعات و سلامت محیط نیز لازم است. معرفی باج‌افزار در CISA این ابعاد تهدید را توضیح می‌دهد.

اثر حادثه برای هر شرکت متفاوت است: توقف ثبت سفارش، اختلال حسابداری، ناتوانی در ارائه خدمات، هزینه بازسازی یا از دست رفتن اعتماد مشتری. به جای تکیه بر ارقام کلی خسارت، مشخص کنید توقف هر سرویس چه اثری بر فعالیت واقعی مجموعه دارد و چه راه موقت قابل قبولی وجود دارد.

۲. چرا داشتن آنتی‌ویروس یا فایروال به‌تنهایی کافی نیست؟

آنتی‌ویروس و ابزارهای حفاظت از دستگاه‌ها بخشی از دفاع هستند؛ فایروال نیز ارتباطات را مطابق سیاست تعیین‌شده کنترل می‌کند. هیچ‌کدام جای مدیریت حساب‌ها، اصلاح آسیب‌پذیری‌ها، رسیدگی به هشدار و برنامه بازیابی را نمی‌گیرند. خرید محصول بدون مسئول مشخص و نگهداری منظم، آمادگی عملیاتی ایجاد نمی‌کند.

حساب‌ها و دسترسی: احراز هویت چندعاملی برای دسترسی‌های حساس، حداقل اختیار لازم و حساب مدیریتی جدا از کار روزمره در نظر گرفته شود.
دسترسی از بیرون: مسیرهای مدیریت و اتصال راه دور فهرست و کنترل شوند؛ دسترسی پیمانکار نیز مالک و مدت مشخص داشته باشد.
شبکه: ارتباط بخش‌ها بر اساس نیاز واقعی محدود شود تا اختلال یک بخش، بی‌دلیل همه زیرساخت را درگیر نکند.
دستگاه‌ها و نرم‌افزارها: موجودی معتبر، برنامه به‌روزرسانی و وضعیت پشتیبانی محصولات مشخص باشد.
پایش: مسئول بررسی هشدارها و مسیر اطلاع‌رسانی روشن باشد؛ هشدار بدون پیگیری کافی نیست.
کاربران: روش گزارش پیام یا رفتار مشکوک ساده و شناخته‌شده باشد.

این لایه‌ها باید با اندازه و حساسیت شرکت هماهنگ شوند. هدف، کاهش احتمال و دامنه خسارت است؛ نه وعده جلوگیری صددرصدی از حمله.

۳. پیش از انتخاب تجهیزات، خدمات حیاتی را اولویت‌بندی کنید

مدیر هر واحد و مسئول آی‌تی باید توافق کنند کدام خدمات زودتر لازم‌اند و هر کدام به چه چیزهایی وابسته‌اند. برای مثال، بازگرداندن نرم‌افزار فروش ممکن است به هویت کاربران، شبکه، پایگاه داده و ارتباط با یک سرویس بیرونی وابسته باشد. اولویت کسب‌وکار باید به ترتیب فنی قابل اجرا تبدیل شود.

RTO: زمان هدف برای بازگشت خدمت

RTO زمان هدف‌گذاری‌شده برای بازیابی خدمت پس از اختلال است. این عدد باید با امکانات، افراد و روش بازیابی سازگار باشد و با تمرین ارزیابی شود؛ نوشتن عدد کوتاه در قرارداد به‌تنهایی آن را عملی نمی‌کند.

RPO: چه مقدار فاصله داده قابل تحمل است؟

RPO بیان می‌کند داده تا چه نقطه‌ای پیش از حادثه باید قابل بازیابی باشد؛ یعنی چه فاصله‌ای از تغییرات اخیر می‌تواند قابل تحمل باشد. اگر هدف یک ساعت است، وجود بکاپ شبانه به‌تنهایی برای رسیدن به آن کافی نیست. در حادثه امنیتی، آخرین نسخه ذخیره‌شده ممکن است نسخه سالم و مناسب بازیابی نباشد.

مثال فرضی: شرکت برای سفارش‌ها RTO چهار ساعت و RPO یک ساعت تعیین کرده است. باید با آزمون نشان دهد محیط سالم، داده مناسب و وابستگی‌های لازم در این محدوده آماده می‌شوند. اگر آزمون بیشتر طول کشید، ظرفیت یا هدف باید بازبینی شود. این مثال تعهد زمانی خدمات دیاکو نیست.

۴. بکاپ زمانی ارزش دارد که قابل بازیابی باشد

نسخه پشتیبان روی همان سرور یا با همان دسترسی‌های محیط اصلی ممکن است همراه آن آسیب ببیند. طراحی بکاپ باید جداسازی مناسب، دسترسی محدود و امکان نگهداری نسخه‌ای محافظت‌شده در برابر تغییر یا حذف را بررسی کند. نام «ابری» یا «خارج از محل» به‌تنهایی تضمین حفاظت نیست.

دامنه بکاپ شامل داده، تنظیمات و اقلام لازم برای بازسازی خدمات مشخص باشد.
حساب‌های مدیریت بکاپ و دسترسی‌های حساس آن بازبینی شوند.
تاریخچه نسخه‌ها با نیاز کسب‌وکار و احتمال کشف دیرهنگام حادثه تناسب داشته باشد.
شکست کار پشتیبان‌گیری به فرد مسئول اطلاع داده شود.
بازیابی در محیط جداگانه با بررسی سلامت داده و کارکرد برنامه آزمایش شود.
زمان بازیابی و محدودیت‌هایی مانند ظرفیت ذخیره‌سازی، مجوز و پهنای باند ثبت شوند.

همگام‌سازی فایل یا افزونگی تجهیزات لزوماً جای نسخه پشتیبان مستقل را نمی‌گیرد؛ تغییر مخرب نیز ممکن است منتقل شود. راهنمای NIST درباره نگهداری و آزمون بکاپ بر برنامه‌ریزی و آزمایش نسخه‌های پشتیبان تأکید دارد.

۵. طرح بازیابی فاجعه چه اجزایی دارد؟

طرح بازیابی فاجعه یا DR برنامه بازگرداندن زیرساخت و خدمات پس از اختلال جدی است. پاسخ به حادثه بر شناخت و مهار رخداد تمرکز دارد و تداوم کسب‌وکار، ادامه فعالیت سازمان را حتی با روش موقت دنبال می‌کند. این برنامه‌ها باید هماهنگ باشند؛ بکاپ تنها یکی از اجزای آن‌هاست.

دامنه و سناریو: خدمات، وابستگی‌ها و وضعیت‌هایی که برنامه برای آن‌ها فعال می‌شود مشخص شوند.
نقش‌ها: مسئول هماهنگی، تصمیم‌گیرنده کسب‌وکار، تیم فنی و جانشین هر نقش تعیین شوند.
اطلاعات تماس: مسیر تماس با تیم و تأمین‌کنندگان در دسترس مجاز باشد، حتی اگر ایمیل یا سامانه داخلی کار نکند.
اهداف: اولویت خدمات، RTO و RPO هر خدمت ثبت شوند.
محیط بازیابی: منابع، دسترسی‌ها، مجوزها و راهنمای راه‌اندازی محیط سالم مشخص باشند.
روش بازگردانی: ترتیب بازیابی، نسخه قابل اعتماد و معیار تأیید سلامت تعریف شوند.
بازگشت به فعالیت: مسئول پذیرش خدمت و شرایط اتصال دوباره به محیط عملیاتی تعیین شوند.
تمرین و اصلاح: نتیجه آزمون، محدودیت‌ها و مسئول رفع آن‌ها ثبت شود.

نسخه اضطراری برنامه باید برای افراد مجاز در زمان قطعی قابل دسترسی باشد، اما رمزها و کلیدهای بازیابی نباید در یک فایل عمومی قرار گیرند. راهنمای بازیابی رویداد امنیتی NIST مبنایی برای برنامه‌ریزی و سناریوهای تمرین است.

۶. اگر صبح با پیام باج‌خواهی روبه‌رو شدیم، چه تصمیم‌هایی لازم است؟

نخست، موضوع را از مسیر تعیین‌شده به مسئول پاسخ به حادثه گزارش کنید. کارکنان نباید برای «امتحان کردن»، فایل‌ها را دستکاری یا نسخه‌های پشتیبان را به دستگاه مشکوک متصل کنند. اقدام فنی باید هماهنگ باشد تا هم دامنه آسیب محدود شود و هم شواهد از بین نروند.

هماهنگی: مسئول حادثه و روش ارتباط جایگزین مشخص شوند.
مهار: تیم مجاز، جداسازی سامانه‌های مشکوک را با توجه به وابستگی خدمات انجام دهد.
حفظ شواهد: بازنصب، پاک‌سازی یا خاموش‌کردن گسترده بدون ارزیابی انجام نشود؛ اقدام مناسب به شرایط حادثه بستگی دارد.
بررسی: دامنه رخداد و احتمال دسترسی غیرمجاز به داده‌ها ارزیابی شود.
بازیابی کنترل‌شده: بازگشت خدمت پس از بررسی محیط و نسخه‌ها، با معیار پذیرش روشن انجام شود.
اطلاع‌رسانی: پیام داخلی و بیرونی از مسیر مسئول تعیین‌شده و بر اساس اطلاعات تأییدشده منتشر شود.

این فهرست جای برنامه اختصاصی پاسخ به حادثه را نمی‌گیرد. راهنمای StopRansomware متعلق به CISA و همکاران مرجع فنی برای آماده‌سازی و پاسخ هماهنگ است. تصمیم درباره اطلاع‌رسانی و تعهدات احتمالی نیز باید با مسئولان مربوط و شرایط فعالیت سازمان بررسی شود.

۷. یک تمرین ساده، فاصله میان برنامه و واقعیت را نشان می‌دهد

در یک جلسه تمرینی فرض کنید سرور اصلی و ایمیل داخلی در دسترس نیستند. از تیم بخواهید بدون استفاده از آن‌ها، مسئول حادثه، شماره‌های ضروری، آخرین آزمون بکاپ و ترتیب بازگشت سه خدمت مهم را پیدا کند. هدف سرزنش افراد نیست؛ پیدا کردن وابستگی‌های پنهان و اصلاح برنامه پیش از بحران است.

چک‌لیست آمادگی مدیر شرکت

سه خدمت حیاتی و اثر توقف هر کدام را می‌شناسیم.
مسئول تصمیم‌گیری و جانشین او مشخص‌اند.
RTO و RPO توافق‌شده و نتیجه آخرین آزمون در دسترس‌اند.
نسخه پشتیبان محافظت‌شده و روش بازیابی آن بررسی شده‌اند.
حساب‌های مدیریتی، دسترسی راه دور و مسئول رسیدگی به هشدارها روشن‌اند.
نقشه شبکه و وابستگی سرویس‌ها به‌روز هستند.
روش ادامه موقت فعالیت و ارتباط اضطراری مشخص است.
موارد باز تمرین، مسئول و مهلت اصلاح دارند.

پس از تغییر مهم زیرساخت، نرم‌افزار یا تأمین‌کننده، برنامه را بازبینی کنید. برای شناخت وابستگی‌ها، راهنمای مستندسازی شبکه و برای روشن کردن مسئولیت نگهداری، چک‌لیست پشتیبانی آی‌تی را نیز ببینید.

پرسش‌های رایج مدیران درباره باج‌افزار و بازیابی

آیا خرید فایروال جدید مسئله را حل می‌کند؟

فایروال مناسب می‌تواند بخشی از کنترل باشد، اما تنظیم، نگهداری و هماهنگی آن با حساب‌ها، دستگاه‌ها و برنامه بازیابی ضروری است. خرید به‌تنهایی جای ارزیابی نیاز را نمی‌گیرد.

اگر بکاپ داریم، به طرح بازیابی نیاز داریم؟

بله. باید بدانید چه کسی، در چه محیطی و با چه ترتیبی خدمات را برمی‌گرداند و چه کسی سلامت آن‌ها را تأیید می‌کند.

آیا پرداخت باج بازگشت اطلاعات را تضمین می‌کند؟

خیر؛ پرداخت تضمینی برای بازیابی یا جلوگیری از انتشار اطلاعات نیست. تصمیم نباید شتاب‌زده یا توسط کارکنان به‌صورت مستقل گرفته شود؛ تیم مسئول حادثه باید ابعاد فنی و شرایط مرتبط را بررسی کند.

آیا شرکت کوچک هم به این برنامه نیاز دارد؟

اگر توقف داده یا نرم‌افزار کار شرکت را مختل می‌کند، برنامه‌ای متناسب با اندازه مجموعه لازم است. فهرست کوتاه و تمرین‌شده از سند طولانی و ناشناخته کاربردی‌تر است.

برای شروع چه اطلاعاتی آماده کنیم؟

فهرست خدمات حیاتی، وضعیت دسترسی‌ها، روش فعلی بکاپ، نتیجه آخرین بازیابی و مسئول هر بخش را جمع‌آوری کنید. سپس از طریق خدمات پشتیبانی آی‌تی دیاکو محدوده بررسی و اقدامات مورد نیاز را مشخص کنید؛ بدون شناخت وضعیت موجود نمی‌توان زمان بازیابی یا سطح حفاظت معینی وعده داد.

باج‌افزارها و کابوس اطلاعات: اگر فردا صبح سرورها قفل شوند، آیا کسب‌وکار شما زنده می‌ماند؟