Mediile de recuperare izolate pot deveni o componentă importantă a strategiei de reziliență cibernetică a IMM-urilor, într-un context în care ransomware-ul vizează tot mai frecvent inclusiv sistemele de backup.
Pentru multe companii mici și mijlocii, backupul este una dintre primele măsuri de protecție luate atunci când vine vorba despre securitatea datelor. Dacă un server se defectează, un sistem devine indisponibil sau datele sunt șterse accidental, o copie de siguranță permite revenirea la o stare funcțională.
Problema este că scenariul atacurilor cibernetice moderne este diferit.
În cazul unui atac ransomware, infractorii nu se limitează la criptarea datelor de producție. În multe situații, încearcă mai întâi să identifice și să compromită copiile de siguranță. Dacă reușesc, organizația poate rămâne fără o variantă sigură de recuperare exact în momentul în care are cea mai mare nevoie de ea.
De aici apare necesitatea unei abordări diferite: datele critice trebuie protejate nu doar prin realizarea unor copii de siguranță, ci și prin păstrarea unor copii într-un mediu separat, protejat și verificabil.
Acesta este principiul care stă la baza Isolated Recovery Environment (IRE) – mediul de recuperare izolat.
Ransomware-ul schimbă regulile jocului
Backupurile tradiționale au fost dezvoltate în principal pentru a răspunde unor probleme precum defectarea hardware-ului, întreruperile de alimentare, dezastrele naturale sau pierderea accidentală a datelor.
Premisa era relativ simplă: infrastructura principală poate deveni indisponibilă, dar datele din backup rămân intacte.
Ransomware-ul pune sub semnul întrebării această presupunere.
Într-un atac bine pregătit, infractorii pot încerca să obțină acces la infrastructura de backup și să șteargă, cripteze sau modifice copiile disponibile. În acest caz, existența unui backup nu mai reprezintă automat o garanție că organizația va putea reveni la normal.
Prin urmare, întrebarea nu mai este doar „Avem backup?”, ci și „Putem avea încredere în backupul pe care îl vom folosi după un atac?”
Această schimbare de perspectivă este una dintre principalele motivații pentru adoptarea mediilor de recuperare izolate.
Ce este un IRE?
Un Isolated Recovery Environment poate fi descris, simplificat, drept o zonă de siguranță pentru datele și aplicațiile esențiale ale companiei.
Conceptul se bazează pe separarea mediului de recuperare de infrastructura operațională. Astfel, în cazul în care rețeaua principală este compromisă, copia destinată recuperării nu ar trebui să poată fi afectată în același mod.
Un rol important îl au copiile imutabile, care nu pot fi suprascrise sau șterse în mod obișnuit. Acestea oferă puncte de recuperare care pot fi utilizate după un incident.
Mai mult, înainte ca datele să fie readuse în infrastructura de producție, acestea pot fi verificate pentru identificarea unor eventuale infecții sau modificări suspecte.
Obiectivul este, așadar, mai complex decât simpla restaurare. Este vorba despre revenirea la o stare despre care compania poate avea un grad ridicat de încredere.
Recuperare rapidă vs recuperare sigură
În cazul unui incident major, presiunea asupra departamentului IT este evidentă: compania trebuie să își reia activitatea cât mai repede.
Viteza este importantă, însă recuperarea unui sistem compromis fără verificarea datelor poate crea o problemă suplimentară.
Dacă malware-ul se află deja în copia restaurată, acesta poate reintra în infrastructură și poate declanșa un nou incident.
Un IRE introduce o etapă suplimentară între identificarea incidentului și revenirea în producție: verificarea datelor.
Mediul de recuperare poate rămâne separat de rețea până când organizația stabilește că datele sunt sigure. În acest fel, procesul de recovery urmărește nu doar rapiditatea, ci și integritatea punctului de la care se face restaurarea.
Este o diferență importantă față de modelul clasic de disaster recovery, unde obiectivul principal era adesea revenirea cât mai rapidă la operațiuni.
Sunt IRE-urile accesibile IMM-urilor?
La prima vedere, conceptul poate părea destinat organizațiilor mari, care dispun de centre de date, echipe IT numeroase și bugete consistente pentru securitate.
Evoluția serviciilor cloud și a modelelor de tip managed services schimbă însă această situație.
Astăzi, companiile mici și mijlocii pot beneficia de mecanisme de protecție și recuperare care, în trecut, necesitau infrastructură proprie și personal specializat. Această abordare este relevantă pentru IMM-uri tocmai prin faptul că nu presupune neapărat construirea unui al doilea centru de date sau achiziția unei infrastructuri complexe.
Serviciile gestionate și soluțiile cloud pot pune la dispoziția companiilor mecanisme de recuperare izolate, fără ca acestea să fie nevoite să administreze individual fiecare componentă a infrastructurii.
Patru principii pentru o strategie de recuperare mai robustă
Pentru o companie care își reevaluează strategia de reziliență cibernetică, implementarea unui IRE ar trebui să pornească de la datele și aplicațiile care sunt esențiale pentru continuitatea businessului.
Printre măsurile recomandate se numără:
1. Backupuri și snapshot-uri imutabile pentru datele critice
Nu toate datele au aceeași importanță. Identificarea informațiilor și aplicațiilor fără de care compania nu își poate desfășura activitatea este primul pas.
2. Separarea mediului de recuperare de producție
O copie de siguranță care poate fi accesată și modificată din aceeași infrastructură cu sistemele de producție poate fi expusă acelorași riscuri.
3. Automatizarea proceselor de recuperare
Acolo unde este posibil, automatizarea poate reduce timpul necesar restaurării și poate limita erorile umane într-o situație de criză.
4. Testarea periodică a recuperării
Un backup neverificat este, în cel mai bun caz, o promisiune. Compania trebuie să știe dacă datele pot fi restaurate, cât durează procesul și dacă aplicațiile critice pot reveni efectiv în funcțiune.
IRE-ul nu înlocuiește securitatea
Un aspect important este că mediul de recuperare izolat nu trebuie privit ca o alternativă la măsurile clasice de securitate. Cu alte cuvinte, protecția trebuie să înceapă cu prevenția și detecția, iar IRE-ul trebuie să intervină atunci când celelalte mecanisme nu au reușit să împiedice compromiterea.
Securitatea identității, actualizarea sistemelor, segmentarea infrastructurii, protecția endpoint-urilor, monitorizarea și instruirea angajaților rămân elemente fundamentale.
Mediul de recuperare reprezintă ultima plasă de siguranță.
Reziliența nu se cumpără, se construiește
Pentru IMM-uri, discuția despre securitate cibernetică s-a mutat treptat de la prevenirea atacurilor către capacitatea de a rezista unui incident și de a reveni la normal.
Această schimbare este importantă. Nicio companie nu poate garanta că va evita orice atac, indiferent de nivelul investițiilor în securitate. În schimb, poate controla cât de bine este pregătită pentru momentul în care un incident apare.
Prin urmare, un IRE nu trebuie privit ca un produs izolat, ci ca parte a unei strategii mai ample. Datele importante trebuie identificate, protejate, izolate, verificate și testate periodic.
În cazul IMM-urilor, această abordare poate fi deosebit de relevantă. Pentru o organizație cu resurse limitate, câteva zile de indisponibilitate pot avea consecințe disproporționat de mari. Posibilitatea de a reveni la un punct de recuperare sigur poate face diferența dintre o întrerupere temporară și o criză de business.
În concluzie, întrebarea esențială este dacă are un backup în care poate avea încredere atunci când infrastructura principală este deja compromisă.
Aici începe rolul mediilor de recuperare izolate.
