Īsi: Laba krīzes komunikācija pēc kibersuzbrukuma ir ātra, godīga un vienota. Vispirms informējiet iekšēji, tad skartos un partnerus, un sakiet tikai to, kas ir droši zināms, skaidri nošķirot no tā, ko vēl izmeklē. Paziņošanas pienākumi, piemēram, saskaņā ar VDAR 34. pantu, jāsaskaņo ar datu aizsardzības speciālistu un juridisko konsultāciju; šī lapa nav juridiska konsultācija.
Kāpēc komunikācija ir incidenta apstrādes daļa
Uzbrukums tīmekļa serverim sākumā ir tehniska problēma. Ļoti ātri tas kļūst arī par uzticības jautājumu: klienti pamana nepieejamu vietni, partneri saņem aizdomīgus e-pastus, darbinieki jautā. Kas tad klusē vai atbild pretrunīgi, zaudē vairāk uzticības nekā pats incidents.
Pašreizējā situācija ap PHP2Shell to dara taustāmu. Daudzi uzņēmumi savas vietnes ir preventīvi atvienojuši no tīkla vai īslaicīgi veikuši uzturēšanu. Tas automātiski nenozīmē, ka tie ir uzlauzti. Tieši šo atšķirību jums uz āru jāspēj izskaidrot skaidri un mierīgi.
Krīzes komunikācija pēc kibersuzbrukuma: pareizā secība
Pārbaudīta secība neļauj svarīgām grupām uzzināt no preses vai trešajām pusēm:
- Krīzes komanda iekšēji: vadība, tehnika, datu aizsardzība, vajadzības gadījumā juridiskā konsultācija un apdrošinātājs. Šeit tiek lemts, kas tiks teikts.
- Darbinieki: īss iekšējs paziņojums ar lūgumu pieprasījumus nodot nozīmētajam kontaktpunktam un norādēm uz piesardzību ar aizdomīgiem e-pastiem.
- Iestādes, kur nepieciešams: piemēram, datu aizsardzības uzraudzība saskaņā ar VDAR 33. pantu, BSI NIS2 pienākuma gadījumā, policija iesnieguma gadījumā. Secību saskaņojiet ar savu juridisko konsultāciju.
- Skartie klienti un partneri: tieši un pirms publiska paziņojuma, ja iespējams.
- Sabiedrība: norāde vietnē, vajadzības gadījumā preses paziņojums.
Saskaņā ar VDAR 34. pantu skartie nekavējoties jāpaziņo, ja datu aizsardzības pārkāpums, visticamāk, rada augstu risku viņiem. Pamatprincipus izskaidro VDAR ziņošanas pienākums: 72 stundas.
Kas jāiekļauj paziņojumā
Labs paziņojums ir īss un atbild uz jautājumiem, ko uzdod skartie. Šī struktūra ir pierādījusies:
| Sadaļa | Saturs |
|---|---|
| Kas noticis? | Lietišķs apraksts vienkāršos vārdos ar laika posmu |
| Ko mēs zinām, ko ne? | Droši fakti, nošķirti no notiekošās izmeklēšanas |
| Kas ir skarts? | Personu vai datu grupas, ciktāl zināms |
| Ko esam darījuši? | Tūlītējie pasākumi, speciālistu un iestāžu iesaistīšana |
| Ko darīt jums? | Konkrēti ieteikumi, piemēram, nomainīt paroli, uzmanīties no pikšķerēšanas |
| Kā ar mums sazināties? | Noteikts kontaktpunkts jautājumiem |
Paziņojiet, kad informēsiet atkal, un šo solījumu izpildiet. Arī „vēl nav jaunu atziņu“ norādītajā laikā rada uzticību.
Sagatavojiet veidnes iekšējai informēšanai, klientu paziņojumam un vietnes norādei, pirms kas notiek. Nopietnā gadījumā tad jāievieto tikai fakti.
No kā labāk izvairīties
Dažādi formulējumi un rīcības regulāri kaitē:
- Pārsteidzīga atbrīvošana: „Dati netika nozagti“ ir pieļaujams tikai tad, ja tas ir pierādīts. Ieinstalēts ielāps nepierāda, ka iepriekš nekas nav noticis.
- Mazināšana: jēdzieni kā „neliels tehnisks starpgadījums“ šķiet negodīgi, ja vēlāk kļūst zināms vairāk.
- Vainas uzvelšana: norādes uz hostinga sniedzēju, pakalpojumu sniedzēju vai ražotāju skartajiem nepalīdz un var radīt tiesiskas sekas.
- Tehniskas detaļas ar nozīmi uzbrucējiem: konkrētas jūsu sistēmu ievainojamības publiskos paziņojumos nepieder.
- Garantijas: apgalvojumus kā „pilnībā drošs“ vai „neuzlaužams“ nevar noturēt.
Vietne, meklētājprogrammas un pikšķerēšanas vilnis
Pēc uzbrukuma vietnei bieži klāt nāk divas pavadošas parādības. Pirmkārt, Google var rādīt brīdinājumu, ja atrasts ļaunprātīgs kods; kā to pēc tīrīšanas likt noņemt, rakstīts lapā Google brīdinājuma noņemšana. Otrkārt, krāpnieki zināmus incidentus izmanto viltotiem e-pastiem skartā uzņēmuma vārdā. Aktīvi brīdiniet klientus par to un norādiet, pa kuriem ceļiem jūs patiešām komunicējat.
Ja vietni izslēdzat preventīvi, pietiek ar vienkāršu statisku lapu ar īsu norādi un kontaktu ceļu, kas nav atkarīgs no skartā servera.
Kad incidents ir noslēdzies, noder noslēguma paziņojums visiem, ko iepriekš informējāt: ko izmeklēšana atklājusi, kādi pasākumi īstenoti ilgtermiņā un pie kā joprojām var vērsties. Daudzi uzņēmumi šo soli izlaiž, jo spiediens mazinās. Tieši tas tomēr parāda, ka incidentu uztvērāt nopietni. Iekšēji arī izvērtējiet, kas komunikācijā izdevās labi un kas ne, un attiecīgi pielāgojiet veidnes un atbildības savā ārkārtas plānā.
Kā PHP SOS palīdz konkrēti?
- Mēs sniedzam tehniskos faktus saprotami sagatavotus un skaidri nošķiram pierādīto, iespējamo un nezināmo.
- Mēs pārbaudām jūsu paziņojumu projektus attiecībā uz tehnisku pareizību un detaļām, kas varētu palīdzēt uzbrucējiem.
- Mēs īsā laikā nodrošinām statisku uzturēšanas lapu, kas darbojas neatkarīgi no skartās sistēmas.
- Ar Incident Response mēs tehniku noturam jūsu komunikācijas ritmā, lai solījumus par informācijas stāvokli var izpildīt.
Biežāk uzdotie jautājumi
Vai uzbrukumu darīt zināmu publiski, kamēr vēl nav viss skaidrs?
Tas ir atkarīgs no situācijas, pienākumiem un skartajiem. Bieži īss, lietišķs paziņojums ar zināmo stāvokli ir labāks nekā klusēšana, jo citādi klienti un partneri uzzina no citiem avotiem. Laiku saskaņojiet ar juridisko konsultāciju un apdrošinātāju.
Kas klientu paziņojumā nekādā gadījumā nedrīkst būt?
Pieņēmumi, kas izskatās kā fakti, vainas uzvelšana trešajām pusēm, tehniskas detaļas, kas palīdz uzbrucējiem, un solījumi, ko nevarat droši izpildīt. Formulējumus, piemēram, pilnībā izslēgts, lietojiet tikai tad, ja tas ir pierādīts.
Kam jārunā uz āru?
Nozīmētai personai, parasti no vadības vai uzņēmuma komunikācijas, ko atbalsta tehnika un juridiskā konsultācija. Visi pārējie atsaucas uz šo kontaktpunktu. Tā paziņojumi paliek vienoti.
Vai mums vietne jāizslēdz no tīkla un tas jāpaskaidro?
Ja vietni izslēdzat preventīvi, palīdz īss paziņojums, piemēram, statiskā uzturēšanas lapā. Tam nav jābūt tehniskam. Preventīva izslēgšana automātiski nenozīmē, ka uzbrukums bijis veiksmīgs.