Stručne: Dobrá krízová komunikácia po kybernetickom útoku je rýchla, úprimná a jednotná. Informujte najprv interne, potom dotknutých a partnerov a hovorte len to, čo je zabezpečené, jasne oddelené od toho, čo sa ešte vyšetruje. Povinnosti upovedomenia, napríklad podľa čl. 34 GDPR, dohodnite so zodpovednou osobou za ochranu údajov a právnym poradenstvom; táto stránka nie je právne poradenstvo.
Prečo je komunikácia súčasťou riešenia incidentu
Útok na webserver je najprv technický problém. Veľmi rýchlo sa však stáva aj otázkou dôvery: zákazníci si všimnú nedostupný web, partneri dostávajú nápadné maily, zamestnanci sa pýtajú. Kto potom mlčí alebo odpovedá protirečivo, stratí viac dôvery než samotným incidentom.
Aktuálna situácia okolo PHP2Shell to robí hmatateľným. Mnohé firmy odpojili svoje weby preventívne od siete alebo ich krátkodobo odstavili kvôli údržbe. To automaticky neznamená, že boli hacknuté. Práve tento rozdiel by ste mali vedieť navonok vysvetliť jasne a pokojne.
Krízová komunikácia po kybernetickom útoku: správne poradie
Osvedčené poradie zabraňuje tomu, aby sa dôležité skupiny dozvedeli z tlače alebo od tretích strán:
- Krízový tím interne: vedenie, technika, ochrana údajov, prípadne právne poradenstvo a poisťovateľ. Tu sa rozhoduje, čo sa povie.
- Zamestnanci: krátka interná informácia s požiadavkou presmerovať dopyty na určené miesto a upozornením na opatrnosť pri podozrivých mailoch.
- Orgány, kde je to potrebné: napríklad dozorný orgán pre ochranu údajov podľa čl. 33 GDPR, BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) pri povinnosti podľa NIS2, polícia pri trestnom oznámení. Poradie dohodnite so svojím právnym poradenstvom.
- Dotknutí zákazníci a partneri: priamo a podľa možnosti pred verejným vyhlásením.
- Verejnosť: upozornenie na webe, prípadne tlačové vyhlásenie.
Podľa čl. 34 GDPR sa dotknuté osoby musia bez zbytočného odkladu upovedomiť, ak porušenie ochrany údajov pravdepodobne vedie pre ne k vysokému riziku. Základy vysvetľuje stránka Oznamovacia povinnosť podľa GDPR: 72 hodín.
Čo patrí do oznámenia
Dobré oznámenie je krátke a odpovedá na otázky, ktoré si dotknutí kladú. Osvedčilo sa toto členenie:
| Časť | Obsah |
|---|---|
| Čo sa stalo? | Vecný opis jednoduchými slovami, s obdobím |
| Čo vieme a čo nie? | Zabezpečené fakty oddelené od prebiehajúceho vyšetrovania |
| Kto je dotknutý? | Skupiny osôb alebo údajov, pokiaľ sú známe |
| Čo sme urobili? | Okamžité opatrenia, zapojenie odborníkov a orgánov |
| Čo by ste mali urobiť? | Konkrétne odporúčania, napríklad zmeniť heslo, dávať pozor na phishing |
| Ako sa na nás obrátite? | Pevné kontaktné miesto pre doplňujúce otázky |
Oznámte, kedy budete opäť informovať, a tento sľub dodržte. Aj „zatiaľ žiadne nové poznatky“ v oznámenom čase vytvára dôveru.
Pripravte si šablóny pre internú informáciu, oznámenie zákazníkom a upozornenie na webe skôr, než sa niečo stane. V kritickom prípade potom stačí doplniť fakty.
Čomu sa radšej vyhnúť
Niektoré formulácie a správanie pravidelne škodia:
- Unáhlené uvoľnenie: „Neboli odcudzené žiadne údaje“ je prípustné, len ak je to preukázané. Nasadená záplata nedokazuje, že sa predtým nič nestalo.
- Zľahčovanie: Pojmy ako „malý technický incident“ pôsobia nepoctivo, ak sa neskôr zistí viac.
- Obviňovanie: Poukazy na poskytovateľa hostingu, dodávateľa alebo výrobcu dotknutým nepomáhajú a môžu mať právne následky.
- Technické podrobnosti využiteľné pri útoku: Konkrétne zraniteľnosti vašich systémov nepatria do verejných oznámení.
- Záruky: Vyjadrenia ako „úplne bezpečné“ alebo „nehacknuteľné“ sa nedajú dodržať.
Web, vyhľadávače a vlna phishingu
Po útoku na web často pribúdajú dva sprievodné javy. Po prvé môže Google zobraziť varovanie, ak sa našiel škodlivý kód; ako ho po vyčistení dať odstrániť, je na stránke Odstránenie varovania Google. Po druhé podvodníci využívajú známe incidenty na falošné maily v mene dotknutej firmy. Aktívne na to svojich zákazníkov upozornite a uveďte, akými cestami skutočne komunikujete.
Ak web preventívne odpojíte od siete, stačí jednoduchá statická stránka s krátkym upozornením a kontaktnou cestou, ktorá nezávisí od dotknutého servera.
Ak je incident uzavretý, oplatí sa záverečné oznámenie všetkým, ktorých ste predtým informovali: čo vyšetrovanie ukázalo, aké opatrenia sa trvalo zaviedli a na koho sa možno aj naďalej obrátiť. Mnohé firmy tento krok vynechajú, pretože tlak ustúpi. Práve on však ukazuje, že ste incident brali vážne. Interne navyše vyhodnoťte, čo v komunikácii dopadlo dobre a čo nie, a podľa toho upravte šablóny a zodpovednosti vo svojom núdzovom pláne.
Ako konkrétne pomáha PHP SOS?
- Dodáme technické fakty zrozumiteľne spracované a jasne oddeľujeme preukázané, pravdepodobné a neznáme.
- Skontrolujeme návrhy vašich oznámení na technickú správnosť a na podrobnosti, ktoré by mohli pomôcť útočníkom.
- Krátkodobo poskytneme statickú stránku údržby, ktorá beží nezávisle od dotknutého systému.
- Cez reakciu na incident (Incident Response) držíme techniku v rytme vašej komunikácie, aby sa dali dodržať sľuby o stave informácií.
Časté otázky
Máme útok zverejniť, kým ešte nie je všetko jasné?
Závisí to od situácie, povinností a dotknutých osôb. Často je krátke, vecné oznámenie so známym stavom lepšie než mlčanie, pretože zákazníci a partneri sa inak dozvedia z iných zdrojov. Načasovanie dohodnite s právnym poradenstvom a poisťovateľom.
Čo by v oznámení pre zákazníkov nemalo byť v žiadnom prípade?
Domnienky, ktoré pôsobia ako fakty, obviňovanie tretích strán, technické podrobnosti, ktoré pomáhajú útočníkom, a sľuby, ktoré nemôžete s istotou dodržať. Formulácie ako úplne vylúčené používajte len vtedy, ak sú preukázané.
Kto by mal hovoriť navonok?
Určená osoba, väčšinou z vedenia alebo firemnej komunikácie, podporovaná technikou a právnym poradenstvom. Všetci ostatní odkazujú na toto miesto. Takto zostávajú vyjadrenia jednotné.
Musíme web odpojiť a vysvetliť to?
Ak web preventívne odpojíte od siete, pomôže krátke upozornenie, napríklad na statickej stránke údržby. Nemusí byť technické. Preventívne odpojenie neznamená automaticky, že útok bol úspešný.