Poučení z loňského incidentu na Úřadu městské části Praha 5
Kybernetické útoky nejsou v současné době záležitostí ojedinělou, která by se týkala jen „vyvolených“ obětí. Stále platí tom že polovina firem a institucí byla cílem kybernetického útoku a druhá polovina o tom pouze neví. Cílem útoku se může stát každý, protože často útočníci nemají ani tušení, na koho vlastně útočí. Převážně jim jde totiž o zisk. Oblíbenou metodou je tzv. ransomwarový útok, kdy útočníci vhodnou metodou infikují IT systémy oběti škodlivým softwarem, který zašifruje data a tím paralyzují část nebo celou informační infrastrukturu. Potom kybergangsteři požadují výkupné za pomoc při obnovení jejího chodu. Je celá řada variant takovéhoto útoku, ale není cílem tohoto článku je rozebírat. Cílem je, podělit se o zkušenosti z reálného života, kdy Úřad městské části Praha 5 takovémuto útoku čelil.
V pondělí 14. 3. 2022 byla administrátory IT úřadu detekována neobvyklá aktivita jednoho z poštovních serverů. Diagnostikou bylo zjištěno, že se jedná o šifrovací (ransomwarový) útok. Servery byl odpojeny tak, aby se nákaza nešířila dál. Bylo také zjištěno, že tímto útokem nebyly postiženy zálohy informačního prostředí. Což se ukázalo jako klíčové pro úspěšnou obnovu chodu úřadu. Na základě doporučení manažera kybernetické bezpečnosti bylo vydáno nařízení k vypnutí všech informačních systémů úřadu. V provozu zůstal pouze webový server včetně úřední desky.
Dále byl sestaven expertní tým, který podnikl příslušná technická i organizační opatření k zajištění důkazů i kroků k obnově bezpečného chodu informační a komunikační infrastruktury.
Bylo podáno trestní oznámení na neznámého pachatele, byl informován Národní úřad pro kybernetickou bezpečnost (NÚKIB), Úřad pro ochranu osobních údajů (ÚOOÚ) a ředitel Odboru bezpečnosti Magistrátu hlavního města Prahy.
Na web Prahy 5 byla umístěna základní informace o omezení provozu úřadu. Dále pak byla obdobná informace nastavena na telefonní předvolbě úřadu, s odkazem na bližší informace na webu. Vedoucím jednotlivých odborů byly poskytnuty služební mobilní telefony a informace o nich byly doplněny na web Prahy 5. Následný den byly na web ještě doplněny informace, jaké služby jsou odbory při omezeném provozu schopny poskytovat.
Ve středu 16. 3. 2022 proběhlo zasedání Bezpečnostní rady. Velmi důležitá byla komunikace s pojišťovnou, u které měl úřad pojištěna kybernetická rizika. Proto také bylo přijato jedno z nejzásadnějších organizačních opatření a to, že každý krok, každé rozhodnutí bude dokumentováno. Z jednání expertního týmy byly pořizovány zápisy s úkoly, termíny a jasnými kompetencemi.
Ve spolupráci s vedoucím odboru informatiky a manažerem kybernetické bezpečnosti bylo rozhodnuto o zapůjčení bezpečnostního řešení BitDefender, pro oskenování a zabezpečení všech serverů, PC a notebooků, aby se zjistilo, kam všude škodlivý kód pronikl, a kód byl izolován nebo vymazán.
Bylo dočasně pronajato datové úložiště pro zkopírování všech dat pro následnou obnovu relevantních systémů. Proběhly kontroly jednotlivých PC a záznamů o komunikaci do úřadu a ven. Expertní skupina se scházela každý den a postupně realizovala opatření pro návrat do normálního fungování. S externími členy této pracovní skupiny byly uzavřeny dohody o mlčenlivosti.
Expertní tým postupně přijímal taková technická a organizační opatření, aby byly systémy, na kterých je činnost úřadu ve všech ohledech závislá, spuštěny co nejdříve s ohledem na aspekty provozní i bezpečnostní. Experti tohoto týmu komunikovali mezi sebou v podstatě nepřetržitě s tím, že své kroky minimálně jednou denně synchronizovali na společných on-line poradách.
Pro zajištění plnění legislativou daných úkonů byl v pondělí 21. 3. 2022 v nouzovém režimu zajištěn výdej cestovních dokladů a občanských průkazů, zápis narozených dětí do matriky, přístup do Czech POINTu pro potřeby úřadu, přístup do datové schránky MČP5 a provoz telefonní ústředny.
Postupně bylo obnoveno původní prostředí informační a komunikační infrastruktury v rozsahu nezbytném pro fungování klíčových systémů úřadu.
V pondělí 28. 3. 2022 byla většina informačních systémů úřadu uvedena do provozu.
JUDr. Kateřina Černá, Ing. Aleš Špidla
