Lyhyesti: Hyvä kriisiviestintä kyberhyökkäyksen jälkeen on nopeaa, rehellistä ja yhtenäistä. Tiedota ensin sisäisesti, sitten osallisia ja kumppaneita, ja kerro vain se, mikä on varmaa, selvästi erotettuna siitä, mitä vielä tutkitaan. Ilmoitusvelvollisuudet, esimerkiksi GDPR:n 34 artiklan mukaan, sovitaan tietosuojavastaavan ja oikeudellisen neuvonnan kanssa; tämä sivu ei ole oikeudellista neuvontaa.
Miksi viestintä kuuluu poikkeaman käsittelyyn
Verkkopalvelimeen kohdistuva hyökkäys on aluksi tekninen ongelma. Hyvin nopeasti se on kuitenkin myös luottamuskysymys: asiakkaat huomaavat tavoittamattoman verkkosivuston, kumppanit saavat outoja sähköposteja, työntekijät kysyvät. Joka silloin vaikenee tai vastaa ristiriitaisesti, menettää enemmän luottamusta kuin itse poikkeamasta.
PHP2Shellin ympärillä oleva tilanne tekee tämän konkreettiseksi. Monet yritykset ovat ottaneet verkkosivustojaan varotoimena pois verkosta tai huoltaneet niitä lyhyellä varoitusajalla. Se ei automaattisesti tarkoita, että ne olisi murrettu. Juuri tämä ero kannattaa osata selittää ulospäin selkeästi ja rauhallisesti.
Kriisiviestintä kyberhyökkäyksen jälkeen: oikea järjestys
Hyväksi havaittu järjestys estää tärkeitä ryhmiä kuulemasta asiasta lehdistöltä tai kolmansilta:
- Kriisiryhmä sisäisesti: johto, tekniikka, tietosuoja, tarvittaessa oikeudellinen neuvonta ja vakuutusyhtiö. Täällä päätetään, mitä sanotaan.
- Työntekijät: lyhyt sisäinen tiedote, jossa pyydetään ohjaamaan kyselyt nimetylle taholle, ja ohjeita varovaisuudesta epäilyttävien sähköpostien suhteen.
- Viranomaiset, missä tarpeen: esimerkiksi tietosuojan valvontaviranomainen GDPR:n 33 artiklan mukaan, BSI (Saksan liittovaltion tietoturvavirasto) NIS2-velvoitteen tapauksessa, poliisi rikosilmoituksen yhteydessä. Järjestyksen sovit oikeudellisen neuvontasi kanssa.
- Osalliset asiakkaat ja kumppanit: suoraan ja ennen julkista lausuntoa, jos mahdollista.
- Yleisö: ilmoitus verkkosivustolla, tarvittaessa lehdistötiedote.
GDPR:n 34 artiklan mukaan rekisteröidyille on ilmoitettava viipymättä, jos tietosuojaloukkauksesta aiheutuu todennäköisesti korkea riski heille. Perusteet selittää GDPR-ilmoitusvelvollisuus: 72 tuntia.
Mitä tiedotteeseen kuuluu
Hyvä tiedote on lyhyt ja vastaa kysymyksiin, joita osalliset esittävät. Tämä jäsennys on osoittautunut toimivaksi:
| Osio | Sisältö |
|---|---|
| Mitä on tapahtunut? | Asiallinen kuvaus yksinkertaisin sanoin, ajanjaksoineen |
| Mitä tiedämme, mitä emme? | Varmat tosiasiat erotettuina käynnissä olevasta tutkinnasta |
| Ketä asia koskee? | Henkilö- tai tietoryhmät, tiedossa olevilta osin |
| Mitä olemme tehneet? | Pikatoimet, asiantuntijoiden ja viranomaisten mukaan ottaminen |
| Mitä sinun pitäisi tehdä? | Konkreettisia suosituksia, esimerkiksi salasanan vaihto, tietojenkalastelun varominen |
| Miten tavoitat meidät? | Kiinteä yhteyspiste jatkokysymyksille |
Ilmoita, milloin tiedotat uudelleen, ja pidä lupauksesta kiinni. Myös ”ei uusia havaintoja” ilmoitettuna aikana luo luottamusta.
Valmistele pohjat sisäiselle tiedotteelle, asiakastiedotteelle ja verkkosivuston ilmoitukselle ennen kuin mitään tapahtuu. Hätätilanteessa silloin tarvitsee vain lisätä tosiasiat.
Mitä kannattaa välttää
Jotkin ilmaisut ja toimintatavat vahingoittavat säännöllisesti:
- Ennenaikainen rauhoittelu: ”Tietoja ei viety” on sallittu vain, jos se on todistettu. Asennettu korjaus ei todista, ettei aiemmin tapahtunut mitään.
- Vähättely: Ilmaisut kuten ”pieni tekninen välikohtaus” vaikuttavat epärehellisiltä, jos myöhemmin selviää enemmän.
- Syyllistäminen: Viittaukset hosting-yritykseen, palveluntarjoajaan tai valmistajaan eivät auta osallisia ja voivat johtaa oikeudellisiin seurauksiin.
- Tekniset yksityiskohdat, joista on hyötyä hyökkääjälle: Järjestelmiesi konkreettiset heikkoudet eivät kuulu julkisiin tiedotteisiin.
- Takuut: Lausumat kuten ”täysin turvallinen” tai ”murtumaton” eivät pidä.
Verkkosivusto, hakukoneet ja tietojenkalasteluaalto
Verkkosivustoon kohdistuneen hyökkäyksen jälkeen tulee usein kaksi sivuilmiötä. Ensinnäkin Google voi näyttää varoituksen, jos haittakoodi on löydetty; miten sen poistattaminen puhdistuksen jälkeen tapahtuu, kerrotaan sivulla Google-varoituksen poistaminen. Toiseksi huijarit käyttävät tunnettuja poikkeamia väärennettyihin sähköposteihin osallisen yrityksen nimissä. Varoita asiakkaitasi siitä aktiivisesti ja kerro, mitä teitä pitkin todella viestit.
Jos otat verkkosivuston varotoimena pois verkosta, riittää yksinkertainen staattinen sivu lyhyellä ilmoituksella ja yhteystavalla, joka ei riipu vaarantuneesta palvelimesta.
Kun poikkeama on käsitelty, kannattaa lähettää päättävä tiedote kaikille, joille olet aiemmin tiedottanut: mitä tutkinta osoitti, mitkä toimenpiteet on toteutettu pysyvästi ja keneen voi jatkossakin ottaa yhteyttä. Monet yritykset jättävät tämän vaiheen väliin, koska paine hellittää. Juuri se kuitenkin osoittaa, että otit poikkeaman vakavasti. Arvioi lisäksi sisäisesti, mikä viestinnässä sujui hyvin ja mikä ei, ja mukauta pohjat ja vastuut hätäsuunnitelmassasi vastaavasti.
Miten PHP SOS auttaa konkreettisesti?
- Toimitamme tekniset tosiasiat ymmärrettävästi jäsenneltyinä ja erotamme selvästi todistetun, todennäköisen ja tuntemattoman.
- Tarkistamme tiedotteidenne luonnokset teknisen oikeellisuuden ja hyökkääjiä mahdollisesti auttavien yksityiskohtien osalta.
- Tarjoamme lyhyellä varoitusajalla staattisen huoltosivun, joka toimii vaarantuneesta järjestelmästä riippumatta.
- Poikkeamien hallinnan kautta pidämme tekniikan viestintänne tahdissa, jotta tietotilaa koskevat lupaukset voidaan pitää.
Usein kysytyt kysymykset
Pitäisikö hyökkäys julkistaa, vaikka kaikki ei ole vielä selvää?
Se riippuu tilanteesta, velvoitteista ja osallisista. Usein lyhyt, asiallinen tiedote tunnetulla tilalla on parempi kuin vaikeneminen, koska asiakkaat ja kumppanit muuten kuulevat asiasta muista lähteistä. Sovi ajankohta oikeudellisen neuvonnan ja vakuutusyhtiön kanssa.
Mitä asiakastiedotteessa ei missään tapauksessa pitäisi olla?
Oletuksia, jotka näyttävät tosiasioilta, syyllistämistä kolmansille, teknisiä yksityiskohtia, jotka auttavat hyökkääjiä, ja lupauksia, joita et voi varmasti pitää. Ilmaisuja kuten täysin poissuljettu kannattaa käyttää vain, jos ne on todistettu.
Kenen pitäisi puhua ulospäin?
Nimetyn henkilön, yleensä johdosta tai yrityksen viestinnästä, tukenaan tekniikka ja oikeudellinen neuvonta. Kaikki muut ohjaavat tälle taholle. Näin lausunnot pysyvät yhtenäisinä.
Pitääkö verkkosivusto ottaa pois verkosta ja selittää se?
Jos otat verkkosivuston varotoimena pois verkosta, lyhyt ilmoitus esimerkiksi staattisella huoltosivulla auttaa. Sen ei tarvitse olla tekninen. Varotoimena tehty offline-tila ei automaattisesti tarkoita, että hyökkäys onnistui.