Preparation: immutable backups, сегментация, EDR, out-of-band связь, tabletop и technical drills, контракты с IR firm. На инциденте: быстрая изоляция, сохранение evidence, решение о restore vs negotation с legal, коммуникация стейкхолдерам. После — harden и identity reset.
Разбор
- Крипто-ключи и IdP — приоритет защиты.
- Не полагайтесь только на offline PDF playbook — нужны доступы.
- Метрики restore time на критичных системах.
- Юридические аспекты уведомлений регуляторов.
Итог
Ransomware-ready IR = бэкапы + сегментация + отработанные решения под давлением.