Le cinque fasi del dolore: affrontare una violazione dei dati

Home » Security Boulevard (Originale) » Le cinque fasi del dolore: affrontare una violazione dei dati

Sei stato vittima di una violazione dei dati? Non sei solo.

In qualità di professionista della risposta agli incidenti (IR), ho incontrato diversi tipi di personale aziendale, dallo staff IT ai dirigenti. Sfortunatamente, probabilmente è stato il loro giorno peggiore di sempre e, nel nostro mondo, molto probabilmente è dovuto a phishing o ransomware. Secondo il Verizon Data Breach Investigations Report (2023 DBIR), il costo medio per ransomware è più che raddoppiato negli ultimi due anni arrivando a 26.000 dollari, con il 95% degli incidenti che hanno subito perdite comprese tra 1 e 2,25 milioni di dollari.

Molti membri esperti delle forze dell’ordine condividono lo stesso sentimento, soprattutto quelli che lavorano nel campo dei crimini gravi. Come questi soccorritori, stiamo entrando in una scena del crimine attiva. Le emozioni sono alte, le persone coinvolte sono stressate e hanno difficoltà a comprendere cosa è successo, perché e, soprattutto, come riprendere le operazioni.

Sebbene i clienti siano le principali vittime degli incidenti di sicurezza, seguiti dall’azienda, anche i team di sicurezza informatica in prima linea ne sono vittime. Sentimenti di sconfitta, perdita, mancata supervisione e consapevolezza che di conseguenza potrebbero potenzialmente diventare disoccupati sono le dure realtà che i team devono affrontare, soprattutto quando le decisioni sul budget sono state prese senza il loro contributo o se l'azienda non disponeva di un piano di continuità aziendale. Spesso, le vittime attraversano le stesse cinque fasi del dolore sperimentate dalle vittime di altri crimini.

Le cinque fasi del dolore – negazione, rabbia, contrattazione, depressione e accettazione – sono state sviluppate da Elisabeth Kübler-Ross in un libro da lei pubblicato intitolato On Death and Dying. Il modello è stato utilizzato per descrivere i malati terminali che affrontano la morte, ma è stato rapidamente adattato come modo di pensare al dolore in generale. Dopo aver guidato molti clienti attraverso eventi di violazione dei dati fino alla risoluzione, abbiamo visto in azione il modello delle “cinque fasi del dolore”.

Osservando questo modello con una lente di infosec, abbiamo delineato le cinque fasi del dolore della risposta agli incidenti e come elaborarle per ottenere un risultato migliore.

"Non è possibile che ci sia successo."

"Non posso davvero crederci."

Queste sono solo alcune delle affermazioni che abbiamo sentito esprimere dai clienti della risposta agli incidenti (IR) nelle fasi iniziali dopo una violazione. Sebbene sia importante riconoscere questa brutta verità e simpatizzare con la situazione in questione, non c’è tempo da perdere. Devi agire in fretta.

Sapere che l'autore della minaccia è vivo e vegeto; è ora di andare avanti.

"Come hai potuto permettere che ciò accadesse?"

In questa fase, la realtà entra in gioco e le persone possono arrabbiarsi. Potrebbe esserci rabbia nei confronti del management per la mancanza di acquisti adeguati negli ultimi anni a causa dei budget, o rabbia nei confronti di terzi per la cattiva gestione delle informazioni delle imprese, ovvero accuse.

La realtà: questa fase è altamente improduttiva e la più inutile dell’intero processo. Non solo l'attività è già stata interrotta, ma il problema potrebbe aggravarsi a causa del tentativo di qualcuno di cercare ritorsioni.

In questo scenario, è fondamentale fare un respiro profondo, rallentare e concentrarsi. Non vuoi che qualcuno con le chiavi del regno esca dalla porta.

In questa fase, dovete ricordare a tutti che siete qui per fare un lavoro insieme. Riorienta la conversazione per superare la rabbia il più rapidamente possibile.

La contrattazione può assumere due forme diverse. Da un lato, il personale può contrattare internamente pensando: “Forse se scarico questo software antivirus, risolverà tutti i miei problemi”.

Agitare una bacchetta magica non risolverà tutti i tuoi problemi. Ad esempio, se sei vittima di un ransomware, gli autori delle minacce sono già entrati. Sono infatti all'interno della tua rete da almeno 24 ore; in alcuni casi, mesi, se non anni. Il lancio del ransomware è una delle ultime fasi di una violazione dei dati; hanno appena pianificato il loro attacco e hanno deciso di esplodere quando meno te lo aspetti.