Serangan Ransomware, Sandaran Lapuk dan Data Pemohon dalam Akaun Peribadi
Pada 2 Julai, unit ICT sebuah jabatan negeri mengesan fail tersulit pada pemacu rangkaian bersama yang digunakan oleh 45 kakitangan. Tiga folder yang terjejas menyimpan pangkalan data 12,400 rekod pemohon, termasuk nama, nombor kad pengenalan, alamat dan nombor telefon. Semakan mendapati sandaran terakhir dibuat pada 18 Mei dan disimpan pada pemacu rangkaian yang sama. Sembilan kakitangan berkongsi satu akaun pentadbir, dan kata laluannya dihantar melalui kumpulan WhatsApp unit. Tiga pegawai menyimpan fail kerja rasmi dalam akaun storan awan peribadi untuk bekerja dari rumah. Dua komputer riba dibawa pulang tanpa kebenaran bertulis. Pegawai keselamatan mencadangkan sistem dimatikan sepenuhnya dan perkara dilaporkan kepada pihak atasan hanya selepas siasatan dalaman selesai, kerana bimbang reputasi jabatan dan siasatan mungkin mengambil masa dua minggu. Unit kaunter perlu menerima permohonan orang awam secara manual mulai esok, dan pengarah menuntut jawapan sama ada data pemohon terjejas.
1. Apakah tindakan yang perlu diambil dalam 24 hingga 72 jam pertama, dan mengapa cadangan menangguhkan pelaporan tidak boleh diterima?
Read the worked answer
Tindakan segera:
- Asingkan, jangan padam. Putuskan sambungan sistem terjejas daripada rangkaian untuk mengehadkan penyebaran, tetapi jangan format atau padam fail kerana bukti forensik diperlukan untuk menentukan punca dan skop.
- Kekalkan bukti. Simpan imej cakera dan log; catat masa penemuan, tindakan dan pegawai yang bertindak.
- Pulihkan dengan bersih. Semak sama ada sandaran 18 Mei bebas daripada jangkitan sebelum pemulihan; jika tidak dapat dipastikan, bina semula sistem dan import data secara berperingkat.
- Tutup pintu masuk: tukar semua kata laluan, bubarkan akaun pentadbir kongsi, kuatkuasakan pengesahan dua faktor dan akses berasaskan peranan.
- Lapor serta-merta kepada pegawai keselamatan ICT, pengurusan atasan dan pusat tindak balas insiden siber mengikut saluran dan tempoh yang ditetapkan dalam dasar keselamatan ICT agensi. Maklumkan pengarah dengan fakta yang disahkan, bukan spekulasi.
- Nilai notifikasi: jika data peribadi 12,400 pemohon benar-benar terjejas, sediakan penilaian risiko dan pelan pemberitahuan kepada individu terjejas serta pihak berkaitan.
Mengapa menangguh tidak boleh diterima:
- Kelewatan melaporkan membolehkan serangan berulang dan menyukarkan pengesanan punca.
- Tempoh pelaporan insiden biasanya ditetapkan dalam dasar; melanggarnya ialah ketidakpatuhan, bukan perlindungan reputasi.
- Menunggu dua minggu bermakna data peribadi orang awam terdedah lebih lama tanpa langkah mitigasi.
- Reputasi dipulihkan melalui pengurusan insiden yang telus dan terkawal, bukan melalui senyap.
2. Bagaimana anda menilai sama ada data pemohon benar-benar terjejas, dan apakah bentuk akauntabiliti pegawai yang terlibat?
Read the worked answer
Penilaian impak data:
- Jenis data: nama, kad pengenalan, alamat dan telefon ialah data pengenalan diri yang boleh digunakan untuk penipuan atau pengambilalihan identiti. Ini meningkatkan tahap sensitiviti.
- Skop: sahkan sama ada fail benar-benar disulitkan sahaja (ransomware) atau turut dimuat naik keluar. Periksa log rangkaian, sambungan keluar dan e-mel; jika tiada bukti penghantaran keluar, risiko masih tinggi tetapi berbeza.
- Kawalan sedia ada: tiada penyulitan, akaun kongsi dan storan peribadi bermakna kebolehpercayaan kawalan rendah, jadi andaian terburuk wajar diambil sehingga dibuktikan sebaliknya.
- Rekod lain: storan awan peribadi dan komputer riba di luar pejabat mungkin mengandungi salinan tambahan yang tidak diketahui; ini mesti disenaraikan.
- Kesimpulan untuk pengarah: nyatakan dengan jelas tiga kategori – disahkan terjejas, mungkin terjejas, dan belum dapat dipastikan – serta tindakan susulan bagi setiap kategori.
Akauntabiliti pegawai:
- Akaun pentadbir kongsi dan kata laluan melalui WhatsApp melanggar kawalan asas; pegawai yang bertanggungjawab mesti menjelaskan.
- Menyimpan data rasmi dalam akaun peribadi dan membawa pulang peranti tanpa kebenaran ialah pelanggaran dasar dan boleh membawa kepada proses tatatertib jika keterlaluan atau berulang.
- Sandaran tidak diuji selama lebih sebulan ialah kegagalan pengurusan operasi ICT, bukan kesalahan seorang staf sahaja.
- Bezakan kecuaian, pelanggaran prosedur dan niat jahat; tindakan mesti berkadar dengan penemuan siasatan.
3. Cadangkan pelan pemulihan dan kawalan jangka panjang supaya insiden ini tidak berulang.
Read the worked answer
Sandaran dan pemulihan:
- Guna prinsip tiga salinan, dua media berbeza, satu di luar lokasi; simpan satu salinan luar talian atau tidak boleh diubah.
- Uji pemulihan setiap suku tahun, bukan hanya menyemak status sandaran. Rekod masa pemulihan sebenar.
- Tetapkan sasaran masa pemulihan dan kehilangan data yang boleh diterima untuk pangkalan data pemohon.
Kawalan akses:
- Hapuskan akaun kongsi; setiap pengguna mempunyai akaun sendiri dengan pengesahan dua faktor.
- Akses berasaskan peranan: staf kaunter tidak perlu akses kepada pangkalan data penuh.
- Semak hak akses setiap enam bulan dan sertakan semakan serta-merta apabila pegawai bertukar atau berhenti.
Data di luar kawalan:
- Larang penggunaan storan awan peribadi untuk data rasmi; sediakan storan rasmi yang diluluskan dengan kawalan akses.
- Dasar peranti mudah alih: pendaftaran, penyulitan cakera dan kebenaran bertulis untuk membawa keluar.
- Pertimbangkan alat pencegahan kebocoran data untuk mengesan pemindahan besar atau muat naik ke laman tidak dibenarkan.
Orang dan proses:
- Latihan tahunan ringkas tetapi khusus: phishing, kata laluan, klasifikasi data, prosedur melaporkan insiden.
- Pelan tindak balas insiden bertulis dengan peranan, senarai hubungan dan templat komunikasi; ujian meja sekali setahun.
- Log audit disimpan untuk tempoh yang ditetapkan dan disemak secara berkala.
- Laporan kepada pengurusan setiap suku tahun mengenai penemuan dan status pembetulan, supaya isu tidak hanya muncul selepas insiden.