Stručně: Dobrá krizová komunikace po kyberútoku je rychlá, upřímná a jednotná. Nejprve informujte interně, poté dotčené osoby a partnery a říkejte jen to, co je jisté, jasně odděleně od toho, co se ještě zkoumá. Povinnosti informování, například podle čl. 34 GDPR, je třeba odsouhlasit s pověřencem pro ochranu osobních údajů a právním poradenstvím; tato stránka není právním poradenstvím.
Proč je komunikace součástí zvládání incidentu
Útok na webový server je nejprve technický problém. Velmi rychle se z něj ale stává také otázka důvěry: zákazníci si všimnou nedostupného webu, partneři dostávají nápadné e-maily, zaměstnanci se ptají. Kdo pak mlčí nebo odpovídá rozporuplně, ztratí více důvěry než samotným incidentem.
Aktuální situace kolem PHP2Shell to činí hmatatelným. Mnoho firem své weby preventivně odpojilo od sítě nebo krátkodobě udržovalo. To automaticky neznamená, že byly napadeny. Právě toto rozlišení byste měli umět navenek vysvětlit jasně a klidně.
Krizová komunikace po kyberútoku: správné pořadí
Osvědčené pořadí brání tomu, aby se důležité skupiny dozvěděly informace z tisku nebo od třetích stran:
- Interní krizový tým: vedení společnosti, technika, ochrana osobních údajů, případně právní poradenství a pojišťovna. Zde se rozhoduje, co se řekne.
- Zaměstnanci: krátká interní informace s žádostí o předávání dotazů určenému místu a s upozorněním na opatrnost u podezřelých e-mailů.
- Úřady, kde je to nutné: například dozorový úřad pro ochranu osobních údajů podle čl. 33 GDPR, BSI (německý Spolkový úřad pro informační bezpečnost) při povinnosti podle NIS2, policie při trestním oznámení. Pořadí odsouhlaste se svým právním poradenstvím.
- Dotčení zákazníci a partneři: přímo a pokud možno před veřejným prohlášením.
- Veřejnost: upozornění na webu, případně tisková zpráva.
Podle čl. 34 GDPR musí být dotčené osoby bez zbytečného odkladu informovány, pokud porušení ochrany osobních údajů pravděpodobně znamená pro ně vysoké riziko. Základy vysvětluje stránka Oznamovací povinnost podle GDPR: 72 hodin.
Co patří do oznámení
Dobré oznámení je krátké a odpovídá na otázky, které si dotčení kladou. Osvědčilo se toto členění:
| Část | Obsah |
|---|---|
| Co se stalo? | Věcný popis jednoduchými slovy, s časovým obdobím |
| Co víme a co ne? | Jistá fakta oddělená od probíhajícího šetření |
| Koho se to týká? | Skupiny osob nebo dat, pokud jsou známy |
| Co jsme udělali? | Okamžitá opatření, zapojení odborníků a úřadů |
| Co byste měli udělat vy? | Konkrétní doporučení, např. změnit heslo, dávat pozor na phishing |
| Jak nás zastihnete? | Pevné kontaktní místo pro doplňující dotazy |
Oznamte, kdy budete znovu informovat, a tento slib dodržte. I sdělení „zatím žádné nové poznatky“ v oznámeném čase vytváří důvěru.
Připravte si šablony pro interní informaci, oznámení zákazníkům a upozornění na webu dříve, než se něco stane. V krizi pak stačí doplnit už jen fakta.
Čemu se raději vyhnout
Některé formulace a způsoby chování pravidelně škodí:
- Předčasné uklidnění: „Žádná data nebyla odcizena“ je přípustné, jen když je to doloženo. Nasazená záplata nedokazuje, že se předtím nic nestalo.
- Zlehčování: Pojmy jako „drobný technický incident“ působí neupřímně, pokud se později zjistí více.
- Obviňování: Odkazy na poskytovatele hostingu, dodavatele nebo výrobce dotčeným nepomáhají a mohou mít právní následky.
- Technické podrobnosti využitelné při útoku: Konkrétní zranitelnosti vašich systémů nepatří do veřejných oznámení.
- Záruky: Výroky jako „zcela bezpečné“ nebo „nenapadnutelné“ nelze udržet.
Web, vyhledávače a vlna phishingu
Po útoku na web se často přidávají dva průvodní jevy. Zaprvé může Google zobrazit varování, pokud byl nalezen škodlivý kód; jak ho po vyčištění nechat odstranit, najdete na stránce Odstranění varování Google. Zadruhé podvodníci využívají známé incidenty k falešným e-mailům jménem dotčené firmy. Aktivně před tím své zákazníky varujte a uveďte, jakými cestami skutečně komunikujete.
Pokud web preventivně odpojíte od sítě, stačí jednoduchá statická stránka s krátkým upozorněním a kontaktní cestou, která nezávisí na dotčeném serveru.
Po uzavření incidentu se vyplatí závěrečné oznámení všem, které jste předtím informovali: co šetření zjistilo, jaká opatření byla trvale zavedena a na koho se lze dále obracet. Mnoho firem tento krok vynechá, protože tlak ustoupí. Právě on ale ukazuje, že jste incident brali vážně. Interně také vyhodnoťte, co v komunikaci fungovalo dobře a co ne, a podle toho upravte šablony a odpovědnosti ve svém nouzovém plánu.
Jak konkrétně pomáhá PHP SOS?
- Dodáme technická fakta srozumitelně zpracovaná a jasně oddělíme doložené, pravděpodobné a neznámé.
- Zkontrolujeme návrhy vašich oznámení z hlediska technické správnosti a detailů, které by mohly pomoci útočníkům.
- Krátkodobě poskytneme statickou stránku o údržbě, která běží nezávisle na dotčeném systému.
- Prostřednictvím reakce na incidenty držíme techniku v taktu vaší komunikace, aby bylo možné dodržet sliby o stavu informací.
Časté dotazy
Máme útok zveřejnit, dokud ještě není všechno jasné?
Záleží na situaci, povinnostech a dotčených osobách. Často je lepší krátké věcné oznámení se známým stavem než mlčení, protože zákazníci a partneři se jinak dozvědí informace z jiných zdrojů. Načasování odsouhlaste s právním poradenstvím a pojišťovnou.
Co by v oznámení zákazníkům nemělo být za žádnou cenu?
Domněnky vydávané za skutečnosti, obviňování třetích stran, technické podrobnosti, které pomáhají útočníkům, a sliby, které si nejste jisti, že dodržíte. Formulace jako zcela vyloučeno používejte jen tehdy, když jsou doložené.
Kdo by měl mluvit navenek?
Určená osoba, zpravidla z vedení společnosti nebo z firemní komunikace, podporovaná technikou a právním poradenstvím. Všichni ostatní odkazují na toto místo. Výroky tak zůstanou jednotné.
Musíme web odpojit a vysvětlit to?
Pokud web preventivně odpojíte od sítě, pomůže krátké upozornění, například na statické stránce o údržbě. Nemusí být technické. Preventivní odpojení automaticky neznamená, že byl útok úspěšný.