直到最近，网络安全工作一直侧重于预防攻击。然而，如果公司过度依赖预防，却没有同时规划防御被突破后该怎么办，就可能措手不及。
“大多数公司没有事件响应计划，也没有合适的合作伙伴。危机发生时，他们就会陷入恐慌，损失也会更严重，”Kudelski Group SA旗下网络安全部门Kudelski Security高级副总裁Christophe Nicolas说。
“许多组织没有意识到，遭遇入侵是不可避免的，”网络安全公司FireEye Inc.旗下部门Mandiant董事总经理Charles Carmakal说。“公司必须每次都把安全做到位，而攻击者只要成功一次就够了。”
“有时遭到黑客攻击，并不意味着你疏忽大意。事实上，世界上一些安全性最高的组织也曾多次遭到攻击和入侵，因为威胁行为者愿意投入大量时间和资源窃取其知识产权。安全能力成熟的公司会从攻击中吸取教训，并加强防御，”Carmakal先生说。
承认无论防御多么完善，你最终仍会遭到入侵，这并非失败主义，而是现实主义。那么，发生这种情况时，你该怎么办？
评估情况
苏黎世保险集团（Zurich Insurance Group）电子解决方案副总裁Larry Collins表示，公司需要问：“他们入侵到了什么程度？拿到了什么？‘他们’是谁？我该如何恢复？需要通知谁？我需要制定哪些业务计划来取代被盗的知识产权？我有哪些责任？”
有一件重要的事并不总能得到明确判断：哪些数据只是暴露在攻击者面前，哪些数据确实被盗。“入侵者或许有能力访问某些数据，但这并不等于我们知道攻击者查看过这些数据，或从环境中复制了数据，”Carmakal先生说。
迅速行动
入侵者可能已经潜伏在你的系统中数月，但一旦发现入侵，你只有几小时作出反应。这是因为，人们往往是在客户发现发票有误、信用卡出现欺诈性扣款或身份被盗的迹象后，才意识到发生了数据泄露。执法机构会监控可疑行为者——他们往往利用另一名受害者的IT系统开展活动——并可能提醒你发生了入侵。涉及知识产权被盗的案件可能会被保密，但员工或客户数据被盗很难守住秘密。
“你必须假定，总会有人披露这起数据泄露事件，”Kudelski的Nicolas先生说。“我们现在认为，与其让别人披露，不如由我们主动披露。”
Nicolas先生提出了“八”规则：“你有八分钟决定说什么，八小时决定做什么，而八天后，别人就会根据你的应对表现来评判你。”
彻底处置
黑客会谨慎地设置多种途径访问网络，General Dynamics Fidelis Cybersecurity Solutions首席网络服务战略师Jim Jaeger说。“如果你只找到并清理了四五个后门，阻止了入侵并清除大量恶意软件，他们仍然有办法重新进入，”他说。“你调查期间，他们会暂停行动，一两个月后再回来。有时他们会继续不停地攻击。”
因此，必须同时找到并清除攻击者使用的所有后门和其他工具。“如果你按顺序处理，先关注欧洲，再关注亚洲，然后北美，或者只处理某些系统而不是整个网络，他们就会通过你尚未清除的某个数据中心或系统再次进入，并感染你刚清理过的区域，”Jaeger先生说。“我们发现，一家大型跨国公司花了将近两个月规划清除阶段，并协调全球资源，以便同时开展行动。”
有些公司不花时间隔离、研究和清除恶意软件，而是采用更快捷的“擦除并重建”流程。一旦在设备上发现恶意软件迹象，就会擦除设备——清除并重新格式化所有磁盘——然后按照标准配置重建，并从备份中恢复数据。
提前规划
“现在就该行动，在你意识到出问题之前，”Collins先生说。“现在就做好功课，这样凌晨2点必须打紧急电话时，你已经知道谁会帮你。”
一份完善的计划应包括内部和外部措施：
—取证。 处理数据泄露对大多数IT部门来说都是过于艰巨的任务，因此应预先聘请外部网络取证专家——你不会想在危机中临时寻找人选。
“你们的IT人员会知道哪些取证公司，但你可能得催促他们提供名单，”Collins先生说。“IT人员往往很看重自己的专业成果。他们喜欢认为自己的系统永远不会被黑。但人们必须明白，威胁形势不断变化。提前安排好，并要求提供三家推荐机构。高级管理团队中还必须有人愿意签支票，按长期聘用方式购买这些服务。这需要一定费用。”
与地方和联邦执法机构建立关系也很重要。
—法律顾问。 如果发生数据泄露，“很可能会因此引发某种法律行动，”Jaeger先生说。“在网络犯罪案件中，受害者常常反而被信用卡公司、州检察长以及各类监管机构起诉。因此，你应通过外部网络法律事务所聘用事件响应[取证]公司，这样与该公司的沟通才能受到律师—客户保密特权的保护。”
欧盟每个国家都有自己的数据隐私办公室；亚洲和拉丁美洲的法律因国家而异。美国有46个州制定了数据隐私法律。“它们可能对报告内容有不同要求，”Collins先生说。面对如此复杂的主管机构网络，“通常需要一位了解必须通知哪些机构的外部法律顾问。”
Carmakal先生说，视遭到泄露的数据而定，你可能需要通知监管机构、客户、业务合作伙伴、信用卡公司或支付处理商。
—保险。 “网络保险会让你重视自己的数据，”智库RAND Corp.研究员Lillian Ablon说。“但你越重视它，支付的费用就越高。”
风险评估至关重要，风险与安全公司Kroll Inc.高级董事总经理Alan Brill说。“你必须找出现有控制措施已经应对的风险、你可能希望转移给保险的风险，以及你实际上无能为力、必须接受的风险。”
—备份。 “由于发现遭到入侵往往需要很长时间，取证证据可能已经无法获取，”Carmakal先生说。“日志可能已被覆盖。某些标准要求日志至少保留一年。保留从入侵开始时起的安全日志，有助于更快、更全面地开展调查。”
相关日志包括防火墙、域名系统（DNS）、动态主机配置协议（DHCP）、Web服务器和安全事件的日志。
—模拟演练。 “通常，你们团队第一次聚在一起就是首次发生数据泄露之后，”Collins先生说。“事先演练一次，这样就不会措手不及，也不会出现争权争责。提前把这些问题解决好。确保每个人都真正见过面。你们见过取证人员了吗？”
Jaeger先生说，事件响应计划往往过于侧重IT和网络安全人员。团队还需要包括公司业务运营、媒体事务和总法律顾问职能部门的代表。
应将常用联系信息汇总在安全的离线地点，并在人员调动和岗位变更时及时更新；不仅要更新内部团队的联系信息，也要更新外部网络安全合作伙伴的信息，其中也包括执法机构。
“提前把每个环节都安排妥当，比如找一家呼叫中心通知一百万人，说他们的数据丢失了，”Collins先生说；或者预先想好“该如何回应打电话来索要声明的记者”。
这类“模拟演练”能发现计划或人员方面的缺口，帮助团队成员在真正的危机发生时更有信心、更有效地应对。“模拟演练能帮助人们学习如何管理情绪和沟通，并在适当的时机采取正确行动，”Nicolas先生说。“归根结底，这就是传统的危机管理。”
攻击者会设法增强自身的韧性。“如果一个据点失效，他们还有多个据点可以继续行动。他们会通过横向移动或在你的系统中设置后门来增加其存在点，”RAND Corp.的Ablon女士说。
这是公司需要从攻击者身上吸取的教训。“如何在数据泄露期间继续运营，同时将业务影响降至最低？如何应对声誉受损？这不仅仅关乎网络能否继续运行，”她说。“韧性至关重要。”
本文与以下机构合作发布： Zurich Knowledge Hub
作者：Catherine Bolgar是苏黎世的特邀撰稿人。
图片：一幅插图显示，2013年6月24日，在华沙的一间办公室里，一名男子手持笔记本电脑，屏幕上投射出二进制代码。路透社/Kacper Pempel。