Lühidalt: Hea kriisikommunikatsioon pärast küberrünnakut on kiire, aus ja ühtne. Teavitage kõigepealt sisemiselt, seejärel mõjutatuid ja partnereid ning öelge ainult seda, mis on kindel, selgelt lahus sellest, mida alles uuritakse. Teavitamiskohustused, näiteks IKÜM art 34 järgi, kooskõlastage andmekaitsespetsialisti ja õigusnõustajaga; see leht ei ole õigusnõustamine.
Miks kommunikatsioon kuulub intsidendi käsitlemise juurde
Rünnak veebiserverile on kõigepealt tehniline probleem. Väga kiiresti muutub see aga ka usalduse küsimuseks: kliendid märkavad kättesaamatut veebisaiti, partnerid saavad kahtlaseid e-kirju, töötajad esitavad küsimusi. Kes siis vaikib või vastab vastuoluliselt, kaotab rohkem usaldust kui intsident ise.
Praegune PHP2Shelli olukord teeb selle käegakatsutavaks. Paljud ettevõtted on oma veebisaidid ennetavalt võrgust maha võtnud või lühiajaliselt hoolduses hoidnud. See ei tähenda automaatselt, et neid häkiti. Just seda vahet peaksite suutma väljapoole selgelt ja rahulikult selgitada.
Kriisikommunikatsioon pärast küberrünnakut: õige järjekord
Tõestatud järjekord takistab, et olulised rühmad saaksid teada ajakirjandusest või kolmandatelt isikutelt:
- Kriisimeeskond sisemiselt: juhtkond, tehnika, andmekaitse, vajaduse korral õigusnõustaja ja kindlustaja. Siin otsustatakse, mida öeldakse.
- Töötajad: lühike sisemine teave koos palvega suunata päringud nimetatud kontaktile ning märkustega ettevaatuse kohta kahtlaste e-kirjade korral.
- Ametiasutused, kus vaja: näiteks andmekaitse järelevalve IKÜM art 33 järgi, BSI NIS2 kohustuse korral, politsei avalduse korral. Järjekorra kooskõlastate oma õigusnõustajaga.
- Mõjutatud kliendid ja partnerid: otse ja enne avalikku avaldust, kui võimalik.
- Avalikkus: märkus veebisaidil, vajaduse korral pressiteade.
IKÜM art 34 järgi tuleb mõjutatud isikuid viivitamata teavitada, kui andmekaitserikkumine toob eeldatavasti kaasa suure ohu nende jaoks. Põhijooned selgitab leht IKÜM-i teavitamiskohustus: 72 tundi.
Mis kuulub teatesse
Hea teade on lühike ja vastab küsimustele, mida mõjutatud endalt küsivad. See ülesehitus on end tõestanud:
| Jaotis | Sisu |
|---|---|
| Mis juhtus? | Asjalik kirjeldus lihtsate sõnadega, koos ajavahemikuga |
| Mida me teame, mida mitte? | Kindlad faktid lahus käimasolevast uurimisest |
| Keda see puudutab? | Isikute või andmete rühmad, niivõrd kui teada |
| Mida me oleme teinud? | Kohesed meetmed, spetsialistide ja ametiasutuste kaasamine |
| Mida peaksite teie tegema? | Konkreetsed soovitused, näiteks parooli vahetamine, andmepüügi suhtes valvsus |
| Kuidas meid kätte saada? | Kindel kontaktpunkt järelepärimisteks |
Teatage ette, millal te uuesti teavitate, ja pidage sellest lubadusest kinni. Ka „uusi teadmisi veel pole“ lubatud ajal loob usaldust.
Valmistage ette mallid sisemise teabe, klienditeate ja veebisaidi märkuse jaoks, enne kui midagi juhtub. Tõsisel hetkel tuleb siis vaid faktid sisse panna.
Mida parem vältida
Mõned sõnastused ja käitumisviisid kahjustavad regulaarselt:
- Ennatlik vabastus: „Andmeid ei varastatud“ on lubatud ainult siis, kui see on tõendatud. Paigaldatud paik ei tõesta, et varem midagi ei juhtunud.
- Alavääristamine: mõisted nagu „väike tehniline vahejuhtum“ mõjuvad ebaausalt, kui hiljem saab rohkem teada.
- Süüdistamine: viited majutajale, teenusepakkujale või tootjale ei aita mõjutatuid ja võivad kaasa tuua õiguslikke tagajärgi.
- Tehnilised üksikasjad, millest on ründajale kasu: teie süsteemide konkreetsed turvaaugud ei kuulu avalikesse teadetesse.
- Garantiid: väited nagu „täiesti turvaline“ või „häkkimatu“ ei pea vastu.
Veebisait, otsingumootorid ja andmepüügilaine
Pärast veebisaidi rünnakut lisandub sageli kaks kaasnähtust. Esiteks võib Google kuvada hoiatuse, kui kahjulik kood leiti; kuidas selle pärast puhastamist eemaldada, on kirjas lehel Google'i hoiatuse eemaldamine. Teiseks kasutavad petturid tuntud intsidente võltsitud e-kirjade jaoks mõjutatud ettevõtte nimel. Hoiatage oma kliente selle eest aktiivselt ja nimetage, milliste teede kaudu te tegelikult suhtlete.
Kui võtate veebisaidi ennetavalt võrgust maha, piisab lihtsast staatilisest leheküljest lühikese märkuse ja kontaktiteega, mis ei sõltu mõjutatud serverist.
Kui intsident on lõppenud, tasub saata lõpuks teade kõigile, keda varem teavitasite: mida uurimine näitas, millised meetmed viidi püsivalt ellu ja kelle poole võib edasi pöörduda. Paljud ettevõtted jätavad selle sammu vahele, sest surve langeb. Just see aga näitab, et võtsite intsidenti tõsiselt. Hinnake sisemiselt lisaks, mis kommunikatsioonis hästi läks ja mis mitte, ning kohandage mallid ja vastutusalad oma hädaolukorra plaanis vastavalt.
Kuidas PHP SOS konkreetselt aitab?
- Anname tehnilised faktid arusaadavalt ette ja eristame selgelt tõendatud, tõenäoline ja teadmata.
- Kontrollime teie teadete mustandeid tehnilise õigsuse ja ründajaid aitada võivate üksikasjade suhtes.
- Paneme lühikese ajaga üles staatilise hooldusleheküljel, mis töötab mõjutatud süsteemist sõltumatult.
- Intsidendile reageerimise kaudu hoiame tehnika teie kommunikatsiooniga taktis, et teabeseisu kohta antud lubadusi saaks täita.
Korduma kippuvad küsimused
Kas peaksime rünnaku avalikuks tegema, kuni kõik pole veel selge?
See sõltub olukorrast, kohustustest ja mõjutatutest. Sageli on lühike, asjalik teade teadaoleva seisuga parem kui vaikimine, sest muidu saavad kliendid ja partnerid teada teistest allikatest. Kooskõlastage ajahetk õigusnõustaja ja kindlustajaga.
Mida klienditeates mingil juhul olla ei tohi?
Oletusi, mis paistavad faktidena, süüdistusi kolmandatele isikutele, tehnilisi üksikasju, mis ründajaid aitavad, ja lubadusi, mida te kindlalt täita ei saa. Väljendeid nagu täielikult välistatud tuleks kasutada ainult siis, kui need on tõendatud.
Kes peaks väljapoole rääkima?
Nimetatud isik, enamasti juhtkonnast või ettevõtte kommunikatsioonist, keda toetavad tehnika ja õigusnõustaja. Kõik teised suunavad sellele kontaktile. Nii jäävad väited ühtseks.
Kas me peame oma veebisaidi võrgust maha võtma ja seda selgitama?
Kui võtate veebisaidi ennetavalt võrgust maha, aitab lühike märkus, näiteks staatilisel hooldusleheküljel. See ei pea olema tehniline. Ennetav võrgust mahavõtmine ei tähenda automaatselt, et rünnak oli edukas.