Röviden: A jó kríziskommunikáció egy kibertámadás után gyors, őszinte és egységes. Először belsőleg tájékoztasson, azután az érintetteket és a partnereket, és csak azt mondja, ami biztos, világosan elkülönítve attól, amit még vizsgálnak. A tájékoztatási kötelezettségeket, például a GDPR 34. cikke szerintieket, az adatvédelmi tisztviselővel és a jogi tanácsadóval kell egyeztetni; ez az oldal nem jogi tanácsadás.
Miért része az incidenskezelésnek a kommunikáció
Egy webszerver elleni támadás először műszaki probléma. Nagyon gyorsan azonban a bizalom kérdésévé is válik: az ügyfelek észreveszik, hogy a weboldal nem elérhető, a partnerek feltűnő leveleket kapnak, a munkatársak kérdeznek. Aki ilyenkor hallgat vagy ellentmondóan válaszol, több bizalmat veszít, mint magával az incidenssel.
A PHP2Shell körüli aktuális helyzet ezt kézzelfoghatóvá teszi. Sok vállalkozás óvintézkedésként offline állapotba helyezte a weboldalát, vagy rövid időre karbantartást végzett. Ez nem jelenti automatikusan, hogy feltörték őket. Éppen ezt a különbségtételt kell tudnia kifelé világosan és nyugodtan elmagyarázni.
Kríziskommunikáció kibertámadás után: a helyes sorrend
Egy bevált sorrend megakadályozza, hogy fontos csoportok a sajtóból vagy harmadik felektől értesüljenek:
- Belső kríziscsapat: ügyvezetés, műszaki terület, adatvédelem, adott esetben jogi tanácsadás és biztosító. Itt döntik el, mit mondanak.
- Munkatársak: rövid belső tájékoztatás azzal a kéréssel, hogy a megkereséseket továbbítsák a kijelölt helyre, és figyelmeztetés a gyanús levelekkel kapcsolatos óvatosságra.
- Hatóságok, ahol szükséges: például az adatvédelmi felügyelet a GDPR 33. cikke szerint, a BSI (a német Szövetségi Információbiztonsági Hivatal) NIS2-kötelezettség esetén, a rendőrség feljelentés esetén. A sorrendet egyeztesse a jogi tanácsadójával.
- Érintett ügyfelek és partnerek: közvetlenül, és ha lehet, nyilvános nyilatkozat előtt.
- Nyilvánosság: tájékoztatás a weboldalon, adott esetben sajtónyilatkozat.
A GDPR 34. cikke szerint az érintetteket indokolatlan késedelem nélkül értesíteni kell, ha egy adatvédelmi incidens valószínűsíthetően magas kockázattal jár rájuk nézve. Az alapokat a GDPR-bejelentési kötelezettség: 72 óra magyarázza.
Mi tartozik egy közleménybe
Egy jó közlemény rövid, és megválaszolja azokat a kérdéseket, amelyeket az érintettek feltesznek. Ez a tagolás bevált:
| Szakasz | Tartalom |
|---|---|
| Mi történt? | Tárgyszerű leírás egyszerű szavakkal, az időszakkal |
| Mit tudunk, mit nem? | Biztos tények elkülönítve a folyamatban lévő vizsgálattól |
| Kik érintettek? | Személyek vagy adatok csoportjai, amennyiben ismertek |
| Mit tettünk? | Azonnali intézkedések, szakemberek és hatóságok bevonása |
| Mit tegyen Ön? | Konkrét ajánlások, például jelszó megváltoztatása, figyelem az adathalászatra |
| Hogyan érhet el minket? | Rögzített kapcsolattartó pont kérdésekre |
Jelentse be, mikor tájékoztat újra, és tartsa be ezt az ígéretet. A „még nincsenek új megállapítások” is bizalmat teremt a bejelentett időpontban.
Készítsen elő sablonokat a belső tájékoztatáshoz, az ügyfél-közleményhez és a weboldali tájékoztatáshoz, mielőtt bármi történne. Éles helyzetben akkor már csak a tényeket kell beilleszteni.
Amit érdemes inkább elkerülni
Egyes megfogalmazások és viselkedések rendszeresen ártanak:
- Elhamarkodott riadómentesítés: „Nem szivárogtak ki adatok” csak akkor megengedett, ha igazolt. Egy telepített javítás nem bizonyítja, hogy korábban nem történt semmi.
- Elbagatellizálás: az olyan fogalmak, mint „kis műszaki közjáték”, őszintétlennek hatnak, ha később többet tudnak meg.
- Felelősségre vonás: a tárhelyszolgáltatóra, a szolgáltatóra vagy a gyártóra való utalás nem segít az érintetteknek, és jogi következményei lehetnek.
- Támadási haszonnal bíró műszaki részletek: a rendszereinek konkrét sebezhetőségei nem tartoznak nyilvános közleményekbe.
- Garanciák: az olyan kijelentések, mint „teljesen biztonságos” vagy „feltörhetetlen”, nem tarthatók.
Weboldal, keresők és adathalász-hullám
Egy weboldal elleni támadás után gyakran két kísérőjelenség jön hozzá. Először, a Google figyelmeztetést jeleníthet meg, ha kártékony kódot találtak; hogyan töröltetheti ezt a tisztítás után, azt a Google-figyelmeztetés eltávolítása írja le. Másodszor, a csalók az ismertté vált incidenseket az érintett vállalkozás nevében hamis levelekhez használják. Figyelmeztesse aktívan az ügyfeleit erre, és nevezze meg, mely utakon kommunikál ténylegesen.
Ha óvintézkedésként offline állapotba helyezi a weboldalt, elég egy egyszerű statikus oldal egy rövid tájékoztatással és egy olyan elérhetőséggel, amely nem függ az érintett szervertől.
Ha az incidens lezárult, érdemes egy záró közleményt küldeni mindenkinek, akit korábban tájékoztatott: mit eredményezett a vizsgálat, mely intézkedéseket valósították meg tartósan, és kihez lehet továbbra is fordulni. Sok vállalkozás kihagyja ezt a lépést, mert a nyomás enyhül. Éppen ez mutatja azonban meg, hogy komolyan vette az incidenst. Értékelje belsőleg azt is, mi ment jól a kommunikációban és mi nem, és ennek megfelelően igazítsa a sablonokat és az illetékességeket a vészhelyzeti tervében.
Hogyan segít konkrétan a PHP SOS?
- A műszaki tényeket érthetően előkészítve szolgáltatjuk, és világosan elkülönítjük az igazoltat, a valószínűt és az ismeretlent.
- Ellenőrizzük a közleményeinek tervezeteit műszaki helyességre és olyan részletekre, amelyek a támadóknak segíthetnének.
- Rövid időn belül biztosítunk egy statikus karbantartási oldalt, amely az érintett rendszertől függetlenül fut.
- Az Incident Response keretében a technikát az Ön kommunikációjának ütemében tartjuk, hogy a tájékoztatási állapotra vonatkozó ígéreteket be lehessen tartani.
Gyakori kérdések
Nyilvánosságra hozzuk a támadást, amíg még nem tisztázódott minden?
Ez a helyzettől, a kötelezettségektől és az érintettektől függ. Gyakran egy rövid, tárgyszerű közlemény az ismert állapotról jobb a hallgatásnál, mert az ügyfelek és a partnerek különben más forrásból értesülnek. Az időpontot egyeztesse a jogi tanácsadóval és a biztosítóval.
Mi nem szerepelhet semmiképp egy ügyfél-közleményben?
Tényként feltüntetett feltevések, harmadik feleknek szóló felelősségre vonás, olyan műszaki részletek, amelyek a támadóknak segítenek, és olyan ígéretek, amelyeket nem tud biztosan betartani. Az olyan megfogalmazásokat, mint a teljesen kizárt, csak akkor használja, ha igazolt.
Ki beszéljen kifelé?
Egy kijelölt személy, többnyire az ügyvezetésből vagy a vállalati kommunikációból, a műszaki terület és a jogi tanácsadás támogatásával. Mindenki más erre a helyre hivatkozik. Így az állítások egységesek maradnak.
Offline állapotba kell helyeznünk a weboldalunkat, és ezt meg kell magyaráznunk?
Ha óvintézkedésként leveszi a weboldalt a hálózatról, segít egy rövid tájékoztatás, például egy statikus karbantartási oldalon. Nem kell műszakinak lennie. Az óvintézkedésként végzett offline állapotba helyezés nem jelenti automatikusan, hogy egy támadás sikeres volt.