Pla de continuïtat de negoci davant d’un ciberatac

Un ciberatac pot interrompre processos essencials d’una empresa en qüestió de minuts. La facturació, els enviaments, l’atenció al client o l’accés a la informació es poden veure afectats si els sistemes deixen d’estar disponibles.

Disposar de còpies de seguretat ajuda a recuperar les dades, però no garanteix que l’empresa pugui reprendre l’activitat ràpidament. Per reduir l’impacte d’un incident, cal identificar quins processos s’han de recuperar primer, quant de temps poden estar interromputs i quines alternatives hi ha mentre es restableixen els sistemes.

Un pla de continuïtat de negoci davant d’un ciberatac permet establir aquestes prioritats i coordinar la resposta per reduir les interrupcions, les pèrdues econòmiques i les conseqüències per als clients i proveïdors.

Què és un pla de continuïtat de negoci i per a què serveix?

Un pla de continuïtat de negoci estableix els procediments, els recursos i les responsabilitats necessaris per mantenir o recuperar els processos essencials d’una empresa davant d’una interrupció greu, com ara un atac de ransomware, una caiguda dels serveis al núvol o un incident que afecti un proveïdor.

Es diferencia del pla de recuperació davant de desastres (Disaster Recovery Plan), centrat principalment en la restauració dels sistemes tecnològics i les dades. La continuïtat de negoci també té en compte les persones, els processos i les alternatives necessàries per continuar prestant serveis mentre es recupera la infraestructura.

L’objectiu és reduir el temps d’interrupció, establir prioritats de recuperació i evitar haver d’improvisar decisions durant una crisi.

Quins ciberatacs poden interrompre l’activitat d’una empresa?

No tots els incidents tenen les mateixes conseqüències. Identificar les amenaces que poden afectar els processos crítics ajuda a preparar una resposta adequada.

Ransomware i bloqueig de sistemes crítics

Un atac de ransomware pot xifrar fitxers, interrompre aplicacions i deixar inaccessibles sistemes necessaris per treballar. En alguns casos, els ciberdelinqüents també intenten eliminar o comprometre les còpies de seguretat per dificultar la recuperació.

Incidents de ciberseguretat en proveïdors

Una empresa pot perdre l’accés a serveis essencials si un proveïdor tecnològic, una plataforma de pagaments o un proveïdor de serveis al núvol pateix una interrupció. Per això, el pla ha de tenir en compte les dependències externes i identificar alternatives per mantenir els processos més importants.

Robatori de credencials i pèrdua d’accés als serveis al núvol

El compromís de comptes administratius pot impedir l’accés al correu corporatiu, als documents, a les aplicacions i a les eines de col·laboració. Disposar de procediments alternatius de comunicació i recuperació ajuda a coordinar la resposta quan els canals habituals no estan disponibles.

Com elaborar un pla de continuïtat de negoci davant d’un ciberatac?

Un pla eficaç s’ha d’adaptar als processos i als riscos reals de l’empresa. Aquests són els principals elements que convé definir.

1. Anàlisi de l’impacte en el negoci

Identifica els processos més importants de l’empresa, quins sistemes necessiten i quant de temps poden estar sense funcionar. També cal definir alternatives temporals, com ara procediments manuals o canals d’atenció alternatius, per mantenir els serveis essencials durant una interrupció.

2. Definició dels temps de recuperació: RTO i RPO

Dos indicadors ajuden a establir els objectius de recuperació:

• RTO (Recovery Time Objective): temps màxim objectiu per restablir un sistema o procés després d’una interrupció.
• RPO (Recovery Point Objective): pèrdua màxima de dades que l’empresa pot assumir, expressada com el període d’informació que es podria perdre.

Aquests objectius s’han de definir segons la criticitat de cada procés. No totes les aplicacions necessiten recuperar-se en el mateix termini ni requereixen la mateixa freqüència de còpies de seguretat.

3. Procediments de resposta i aïllament de sistemes

El pla ha d’indicar qui pren les decisions, com es comunica un incident i quines mesures es poden aplicar per contenir-lo. Segons el cas, pot ser necessari aïllar dispositius compromesos, revocar credencials o limitar connexions per evitar que l’incident s’estengui.

Aquestes actuacions s’han de coordinar amb els procediments de resposta davant d’incidents i executar-se de manera que no es comprometin innecessàriament altres sistemes essencials.

4. Còpies de seguretat i proves de recuperació

Les còpies de seguretat han d’estar protegides contra accessos no autoritzats i possibles intents d’eliminació o xifratge. Una estratègia adequada pot combinar diverses còpies, diferents suports i una còpia aïllada o immutable.

La regla 3-2-1-1-0 és una referència útil per organitzar les còpies de seguretat: tres còpies de les dades, en dos tipus de suport, una fora de la ubicació principal, una altra d’aïllada o immutable i zero errors detectats en les verificacions. El més important és adaptar aquesta estratègia a les necessitats de l’empresa i comprovar periòdicament que les dades i els sistemes es poden recuperar.

5. Comunicació de crisi i responsabilitats

Durant un incident, els empleats han de saber com actuar i a qui informar. El pla ha de definir els responsables, els contactes clau i els canals alternatius de comunicació, a més d’establir com s’informarà els clients, els proveïdors i les autoritats quan correspongui.

També ha de contemplar les obligacions de notificació aplicables, per exemple, quan un incident afecta dades personals o serveis subjectes a requisits regulatoris.

Què exigeix la normativa sobre continuïtat de negoci i ciberseguretat?

La continuïtat operativa està relacionada amb diferents marcs normatius, tot i que les obligacions concretes depenen del tipus d’organització, del sector i del seu àmbit d’aplicació.

• NIS2: inclou la continuïtat de negoci, la gestió de crisis i la recuperació davant d’incidents entre les mesures de gestió dels riscos de ciberseguretat per a les entitats incloses en el seu àmbit d’aplicació.
• DORA: estableix requisits de resiliència operativa digital per a les entitats financeres subjectes al reglament, incloent-hi plans de continuïtat, resposta i recuperació davant d’incidents relacionats amb les TIC.
• RGPD: exigeix mesures de seguretat adequades al risc, inclosa, quan escaigui, la capacitat de restaurar la disponibilitat i l’accés a les dades personals en cas d’un incident físic o tècnic.

La documentació, per si sola, no demostra que una empresa estigui preparada. Les proves de recuperació, la revisió dels procediments i el registre dels resultats permeten comprovar si les mesures funcionen i quins aspectes cal corregir.

Com ajuda la ciberseguretat gestionada a mantenir la continuïtat de negoci?

Un pla de continuïtat necessita mesures de prevenció i detecció que ajudin a reduir la probabilitat i l’impacte d’un incident. També requereix revisar les vulnerabilitats, protegir els dispositius i comprovar que els procediments de recuperació continuen sent vàlids.

A ESED ajudem les empreses a millorar la seva capacitat de prevenció, detecció i resposta mitjançant serveis de ciberseguretat gestionada, monitoratge continu, protecció dels endpoints i XDR, gestió de vulnerabilitats i proves de seguretat.