Εν συντομία: Η καλή επικοινωνία κρίσης μετά από κυβερνοεπίθεση είναι γρήγορη, ειλικρινής και ενιαία. Ενημερώστε πρώτα εσωτερικά, έπειτα τα θιγόμενα πρόσωπα και τους εταίρους και πείτε μόνο ό,τι είναι βέβαιο, σαφώς διαχωρισμένο από ό,τι εξακολουθεί να διερευνάται. Οι υποχρεώσεις ενημέρωσης, για παράδειγμα σύμφωνα με το άρθρο 34 ΓΚΠΔ, πρέπει να συντονίζονται με τον υπεύθυνο προστασίας δεδομένων και τη νομική συμβουλή· αυτή η σελίδα δεν αποτελεί νομική συμβουλή.
Γιατί η επικοινωνία ανήκει στον χειρισμό του περιστατικού
Μια επίθεση σε διακομιστή ιστού είναι αρχικά ένα τεχνικό πρόβλημα. Πολύ γρήγορα γίνεται όμως και ζήτημα εμπιστοσύνης: οι πελάτες παρατηρούν έναν ιστότοπο που δεν είναι προσβάσιμος, οι εταίροι λαμβάνουν ύποπτα μηνύματα, οι εργαζόμενοι ρωτούν. Όποιος τότε σιωπά ή απαντά αντιφατικά, χάνει περισσότερη εμπιστοσύνη απ' ό,τι από το ίδιο το περιστατικό.
Η τρέχουσα κατάσταση γύρω από το PHP2Shell το κάνει χειροπιαστό. Πολλές επιχειρήσεις αποσύνδεσαν προληπτικά τους ιστοτόπους τους από το δίκτυο ή τους υπέβαλαν σε σύντομη συντήρηση. Αυτό δεν σημαίνει αυτόματα ότι παραβιάστηκαν. Ακριβώς αυτή τη διάκριση πρέπει να μπορείτε να την εξηγήσετε προς τα έξω με σαφήνεια και ηρεμία.
Επικοινωνία κρίσης μετά από κυβερνοεπίθεση: η σωστή σειρά
Μια δοκιμασμένη σειρά αποτρέπει σημαντικές ομάδες να μαθαίνουν από τον Τύπο ή από τρίτους:
- Ομάδα κρίσης εσωτερικά: διοίκηση, τεχνική, προστασία δεδομένων, ενδεχομένως νομική συμβουλή και ασφαλιστής. Εδώ αποφασίζεται τι θα ειπωθεί.
- Εργαζόμενοι: σύντομη εσωτερική ενημέρωση με την παράκληση να προωθούνται τα αιτήματα στο ορισμένο σημείο και υποδείξεις για προσοχή σε ύποπτα μηνύματα.
- Αρχές, όπου χρειάζεται: για παράδειγμα εποπτική αρχή προστασίας δεδομένων σύμφωνα με το άρθρο 33 ΓΚΠΔ, BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών της Γερμανίας) σε περίπτωση υποχρέωσης NIS2, αστυνομία σε περίπτωση μήνυσης. Τη σειρά τη συντονίζετε με τη νομική σας συμβουλή.
- Θιγόμενοι πελάτες και εταίροι: απευθείας και πριν από μια δημόσια δήλωση, αν είναι δυνατό.
- Κοινό: υπόδειξη στον ιστότοπο, ενδεχομένως δελτίο Τύπου.
Σύμφωνα με το άρθρο 34 ΓΚΠΔ, τα θιγόμενα πρόσωπα πρέπει να ενημερώνονται χωρίς αδικαιολόγητη καθυστέρηση, όταν μια παραβίαση προστασίας δεδομένων ενδέχεται να έχει ως αποτέλεσμα υψηλό κίνδυνο για αυτά. Τις βασικές αρχές εξηγεί η σελίδα Υποχρέωση γνωστοποίησης ΓΚΠΔ: 72 ώρες.
Τι περιλαμβάνει μια ανακοίνωση
Μια καλή ανακοίνωση είναι σύντομη και απαντά στα ερωτήματα που θέτουν τα θιγόμενα πρόσωπα. Αυτή η δομή έχει αποδειχθεί:
| Ενότητα | Περιεχόμενο |
|---|---|
| Τι συνέβη; | Αντικειμενική περιγραφή με απλά λόγια, με χρονικό διάστημα |
| Τι γνωρίζουμε και τι όχι; | Βέβαια γεγονότα χωριστά από τη διερεύνηση που βρίσκεται σε εξέλιξη |
| Ποιοι επηρεάζονται; | Ομάδες προσώπων ή δεδομένων, εφόσον είναι γνωστά |
| Τι κάναμε; | Άμεσα μέτρα, εμπλοκή ειδικών και αρχών |
| Τι πρέπει να κάνετε εσείς; | Συγκεκριμένες συστάσεις, για παράδειγμα αλλαγή κωδικού, προσοχή στο phishing |
| Πώς μας βρίσκετε; | Σταθερό σημείο επαφής για ερωτήματα |
Ανακοινώστε πότε θα ενημερώσετε ξανά και τηρήστε αυτή τη δέσμευση. Ακόμη και ένα «δεν υπάρχουν ακόμη νέα ευρήματα» τη στιγμή που ανακοινώθηκε δημιουργεί εμπιστοσύνη.
Προετοιμάστε υποδείγματα για την εσωτερική ενημέρωση, την ανακοίνωση προς πελάτες και την υπόδειξη στον ιστότοπο προτού συμβεί κάτι. Στην πραγματική περίπτωση χρειάζεται τότε μόνο να εισαχθούν τα γεγονότα.
Τι είναι προτιμότερο να αποφύγετε
Ορισμένες διατυπώσεις και συμπεριφορές βλάπτουν τακτικά:
- Βιαστική άρση συναγερμού: το «δεν υπήρξε διαρροή δεδομένων» επιτρέπεται μόνο όταν τεκμηριώνεται. Ένα patch που εφαρμόστηκε δεν αποδεικνύει ότι δεν συνέβη τίποτα νωρίτερα.
- Υποβάθμιση: όροι όπως «μικρό τεχνικό επεισόδιο» φαίνονται ανειλικρινείς, αν αργότερα γίνουν γνωστά περισσότερα.
- Απόδοση ευθυνών: οι αναφορές σε πάροχο φιλοξενίας, πάροχο υπηρεσιών ή κατασκευαστή δεν βοηθούν τα θιγόμενα πρόσωπα και μπορεί να έχουν νομικές συνέπειες.
- Τεχνικές λεπτομέρειες με αξία για επιτιθέμενους: συγκεκριμένες ευπάθειες των συστημάτων σας δεν ανήκουν σε δημόσιες ανακοινώσεις.
- Εγγυήσεις: δηλώσεις όπως «πλήρως ασφαλές» ή «αδιάσπαστο» δεν μπορούν να τηρηθούν.
Ιστότοπος, μηχανές αναζήτησης και κύμα phishing
Μετά από μια επίθεση σε ιστότοπο προστίθενται συχνά δύο παρενέργειες. Πρώτον, η Google μπορεί να εμφανίσει προειδοποίηση, αν βρέθηκε κακόβουλος κώδικας· πώς την αφαιρείτε μετά τον καθαρισμό, εξηγεί η σελίδα Αφαίρεση της προειδοποίησης Google. Δεύτερον, οι απατεώνες εκμεταλλεύονται γνωστά περιστατικά για πλαστά μηνύματα στο όνομα της θιγόμενης επιχείρησης. Προειδοποιήστε ενεργά τους πελάτες σας γι' αυτό και αναφέρετε μέσω ποιων διαδρομών επικοινωνείτε πράγματι.
Αν αποσυνδέσετε προληπτικά τον ιστότοπο από το δίκτυο, αρκεί μια απλή στατική σελίδα με μια σύντομη υπόδειξη και μια διαδρομή επικοινωνίας που δεν εξαρτάται από τον θιγόμενο διακομιστή.
Όταν το περιστατικό έχει ολοκληρωθεί, αξίζει μια τελική ανακοίνωση προς όλους όσους είχατε ενημερώσει νωρίτερα: τι έδειξε η διερεύνηση, ποια μέτρα εφαρμόστηκαν μόνιμα και σε ποιον μπορεί κανείς να απευθύνεται και στο εξής. Πολλές επιχειρήσεις παραλείπουν αυτό το βήμα, επειδή η πίεση υποχωρεί. Ακριβώς αυτό όμως δείχνει ότι πήρατε στα σοβαρά το περιστατικό. Αξιολογήστε επιπλέον εσωτερικά τι πήγε καλά και τι όχι στην επικοινωνία και προσαρμόστε αντίστοιχα τα υποδείγματα και τις αρμοδιότητες στο σχέδιο έκτακτης ανάγκης.
Πώς βοηθά συγκεκριμένα το PHP SOS;
- Παρέχουμε τα τεχνικά δεδομένα σε κατανοητή μορφή και διαχωρίζουμε σαφώς ανάμεσα σε τεκμηριωμένο, πιθανό και άγνωστο.
- Ελέγχουμε σχέδια των ανακοινώσεών σας ως προς την τεχνική ορθότητα και ως προς λεπτομέρειες που θα μπορούσαν να βοηθήσουν επιτιθέμενους.
- Παρέχουμε σύντομα μια στατική σελίδα συντήρησης, που λειτουργεί ανεξάρτητα από το θιγόμενο σύστημα.
- Μέσω του Incident Response κρατάμε την τεχνική στον ρυθμό της επικοινωνίας σας, ώστε να τηρούνται οι δεσμεύσεις για το επίπεδο πληροφόρησης.
Συχνές ερωτήσεις
Πρέπει να δημοσιοποιήσουμε μια επίθεση, ενώ δεν είναι ακόμη όλα σαφή;
Εξαρτάται από την κατάσταση, τις υποχρεώσεις και τα θιγόμενα πρόσωπα. Συχνά μια σύντομη, αντικειμενική ανακοίνωση με τη γνωστή κατάσταση είναι καλύτερη από τη σιωπή, επειδή αλλιώς οι πελάτες και οι εταίροι το μαθαίνουν από άλλες πηγές. Συντονίστε τη χρονική στιγμή με τη νομική συμβουλή και τον ασφαλιστή.
Τι δεν πρέπει σε καμία περίπτωση να περιέχει μια ανακοίνωση προς πελάτες;
Εικασίες που παρουσιάζονται ως γεγονότα, απόδοση ευθυνών σε τρίτους, τεχνικές λεπτομέρειες που βοηθούν τους επιτιθέμενους και δεσμεύσεις που δεν μπορείτε να τηρήσετε με βεβαιότητα. Διατυπώσεις όπως «πλήρως αποκλεισμένο» πρέπει να τις χρησιμοποιείτε μόνο όταν τεκμηριώνονται.
Ποιος πρέπει να μιλά προς τα έξω;
Ένα ορισμένο πρόσωπο, συνήθως από τη διοίκηση ή την εταιρική επικοινωνία, με τη στήριξη της τεχνικής και της νομικής συμβουλής. Όλοι οι άλλοι παραπέμπουν σε αυτό το σημείο. Έτσι οι δηλώσεις παραμένουν ενιαίες.
Πρέπει να θέσουμε τον ιστότοπό μας εκτός σύνδεσης και να το εξηγήσουμε;
Αν αποσυνδέσετε προληπτικά τον ιστότοπο από το δίκτυο, βοηθά μια σύντομη υπόδειξη, για παράδειγμα σε μια στατική σελίδα συντήρησης. Δεν χρειάζεται να είναι τεχνική. Μια προληπτική αποσύνδεση δεν σημαίνει αυτόματα ότι η επίθεση πέτυχε.