Ukratko: Dobra krizna komunikacija nakon kibernetičkog napada je brza, iskrena i ujednačena. Najprije informirajte interno, zatim pogođene i partnere, i recite samo ono što je sigurno, jasno odvojeno od onoga što se još istražuje. Obveze obavještavanja, primjerice prema čl. 34. GDPR-a, uskladite sa službenikom za zaštitu podataka i pravnim savjetovanjem; ova stranica nije pravni savjet.
Zašto je komunikacija dio postupanja s incidentom
Napad na web-poslužitelj najprije je tehnički problem. Vrlo brzo postaje i pitanje povjerenja: klijenti primjećuju nedostupnu web-stranicu, partneri dobivaju upadljive e-poruke, zaposlenici pitaju. Tko tada šuti ili odgovara proturječno, gubi više povjerenja nego samim incidentom.
Aktualno stanje oko PHP2Shella to čini opipljivim. Mnoge su tvrtke svoje web-stranice preventivno isključile s mreže ili ih kratkoročno održavale. To ne znači automatski da su hakirane. Upravo tu razliku trebate moći jasno i mirno objasniti prema van.
Krizna komunikacija nakon kibernetičkog napada: pravi redoslijed
Provjeren redoslijed sprječava da važne skupine saznaju iz tiska ili od trećih:
- Krizni tim interno: poslovodstvo, tehnika, zaštita podataka, po potrebi pravno savjetovanje i osiguravatelj. Ovdje se odlučuje što će se reći.
- Zaposlenici: kratka interna informacija uz molbu da se upiti proslijede određenoj službi i napomene o oprezu kod sumnjivih e-poruka.
- Tijela, gdje je potrebno: primjerice nadzorno tijelo za zaštitu podataka prema čl. 33. GDPR-a, BSI (njemački Savezni ured za informacijsku sigurnost) kod obveze prema NIS2, policija kod prijave. Redoslijed uskladite sa svojim pravnim savjetovanjem.
- Pogođeni klijenti i partneri: izravno i, ako je moguće, prije javne izjave.
- Javnost: napomena na web-stranici, po potrebi priopćenje za medije.
Prema čl. 34. GDPR-a ispitanici se moraju bez odgode obavijestiti ako povreda zaštite podataka vjerojatno za njih ima visok rizik. Osnove objašnjava članak Obveza prijave prema GDPR-u: 72 sata.
Što spada u obavijest
Dobra obavijest je kratka i odgovara na pitanja koja si postavljaju pogođeni. Ovaj se raspored dokazao:
| Odjeljak | Sadržaj |
|---|---|
| Što se dogodilo? | Stvaran opis jednostavnim riječima, s razdobljem |
| Što znamo, a što ne? | Sigurne činjenice odvojeno od istrage koja je u tijeku |
| Tko je pogođen? | Skupine osoba ili podataka, ako su poznate |
| Što smo poduzeli? | Hitne mjere, uključivanje stručnjaka i tijela |
| Što biste Vi trebali učiniti? | Konkretne preporuke, primjerice promijeniti lozinku, paziti na phishing |
| Kako nas možete kontaktirati? | Stalna kontaktna točka za upite |
Najavite kada ćete ponovno informirati i tu obvezu ispunite. I „još nema novih saznanja“ u najavljeno vrijeme stvara povjerenje.
Pripremite predloške za internu informaciju, obavijest klijentima i napomenu na web-stranici prije nego što se nešto dogodi. U kriznom slučaju tada treba samo umetnuti činjenice.
Čega se bolje kloniti
Neke formulacije i ponašanja redovito štete:
- Prerana uvjeravanja: „Nisu preuzeti nikakvi podaci“ dopušteno je samo ako je dokazano. Instalirana zakrpa ne dokazuje da se prije nije ništa dogodilo.
- Umanjivanje: pojmovi poput „manji tehnički incident“ djeluju neiskreno ako se kasnije sazna više.
- Optuživanje: upućivanje na pružatelja hostinga, davatelje usluga ili proizvođača ne pomaže pogođenima i može imati pravne posljedice.
- Tehničke pojedinosti korisne napadačima: konkretne ranjivosti Vaših sustava ne spadaju u javne obavijesti.
- Jamstva: izjave poput „potpuno sigurno“ ili „nemoguće hakirati“ ne mogu se održati.
Web-stranica, tražilice i val phishinga
Nakon napada na web-stranicu često se pojavljuju dvije popratne pojave. Prvo, Google može prikazati upozorenje ako je pronađen zlonamjerni kod; kako ga nakon čišćenja dati ukloniti, stoji u članku Uklanjanje Googleova upozorenja. Drugo, prevaranti poznate incidente koriste za lažne e-poruke u ime pogođene tvrtke. Aktivno upozorite svoje klijente na to i navedite kojim putovima stvarno komunicirate.
Ako web-stranicu preventivno isključite s mreže, dovoljna je jednostavna statična stranica s kratkom napomenom i putem kontakta koji ne ovisi o pogođenom poslužitelju.
Kad je incident zaključen, isplati se završna obavijest svima koje ste prethodno informirali: što je istraga pokazala, koje su mjere trajno provedene i kome se i dalje mogu obratiti. Mnoge tvrtke taj korak izostave jer pritisak popušta. Upravo on ipak pokazuje da ste incident shvatili ozbiljno. Interno ocijenite i što je u komunikaciji dobro prošlo, a što ne, te prilagodite predloške i odgovornosti u svom planu za hitne slučajeve.
Kako PHP SOS konkretno pomaže?
- Tehničke činjenice isporučujemo razumljivo pripremljene i jasno razlikujemo dokazano, vjerojatno i nepoznato.
- Provjeravamo nacrte Vaših obavijesti zbog tehničke ispravnosti i pojedinosti koje bi mogle pomoći napadačima.
- Kratkoročno osiguravamo statičnu stranicu o održavanju koja radi neovisno o pogođenom sustavu.
- Putem odgovora na incidente tehniku držimo u taktu Vaše komunikacije kako bi se mogla održati obećanja o stanju informiranosti.
Česta pitanja
Trebamo li napad učiniti javnim dok još nije sve jasno?
To ovisi o situaciji, obvezama i pogođenima. Često je kratka, stvarna obavijest s poznatim stanjem bolja od šutnje jer klijenti i partneri inače saznaju iz drugih izvora. Trenutak uskladite s pravnim savjetnikom i osiguravateljem.
Što u obavijesti klijentima ni u kojem slučaju ne smije stajati?
Pretpostavke koje djeluju kao činjenice, optuživanje trećih, tehničke pojedinosti koje pomažu napadačima i obećanja koja ne možete sigurno ispuniti. Izraze poput potpuno isključeno koristite samo ako su dokazani.
Tko bi trebao govoriti prema van?
Određena osoba, najčešće iz poslovodstva ili korporativne komunikacije, uz podršku tehnike i pravnog savjetovanja. Svi ostali upućuju na tu službu. Tako izjave ostaju ujednačene.
Moramo li web-stranicu isključiti s mreže i to objasniti?
Ako web-stranicu preventivno isključite s mreže, pomaže kratka napomena, primjerice na statičnoj stranici o održavanju. Ne mora biti tehnička. Preventivno isključivanje ne znači automatski da je napad bio uspješan.