Kort gezegd: Goede crisiscommunicatie na een cyberaanval is snel, eerlijk en eenduidig. Informeer eerst intern, dan betrokkenen en partners, en zeg alleen wat vaststaat, duidelijk gescheiden van wat nog wordt onderzocht. Verplichtingen tot kennisgeving, bijvoorbeeld volgens art. 34 AVG, stemt u af met uw functionaris voor gegevensbescherming en juridisch adviseur; deze pagina is geen juridisch advies.
Waarom communicatie deel uitmaakt van de incidentafhandeling
Een aanval op een webserver is in eerste instantie een technisch probleem. Heel snel wordt het echter ook een kwestie van vertrouwen: klanten merken dat de website onbereikbaar is, partners ontvangen opvallende e-mails, medewerkers stellen vragen. Wie dan zwijgt of tegenstrijdig antwoordt, verliest meer vertrouwen dan door het incident zelf.
De actuele situatie rond PHP2Shell maakt dat tastbaar. Veel bedrijven hebben hun websites preventief offline gehaald of kortstondig onderhouden. Dat betekent niet automatisch dat ze zijn gehackt. Juist dit onderscheid moet u naar buiten duidelijk en rustig kunnen uitleggen.
Crisiscommunicatie na een cyberaanval: de juiste volgorde
Een beproefde volgorde voorkomt dat belangrijke groepen het uit de pers of van derden vernemen:
- Crisisteam intern: directie, techniek, gegevensbescherming, zo nodig juridisch adviseur en verzekeraar. Hier wordt besloten wat er wordt gezegd.
- Medewerkers: korte interne informatie met het verzoek vragen door te verwijzen naar het aangewezen aanspreekpunt, en aanwijzingen voor voorzichtigheid bij verdachte e-mails.
- Autoriteiten, waar nodig: bijvoorbeeld de toezichthouder voor gegevensbescherming volgens art. 33 AVG, het BSI (de Duitse federale dienst voor informatiebeveiliging) bij een NIS2-plicht, de politie bij aangifte. De volgorde stemt u af met uw juridisch adviseur.
- Getroffen klanten en partners: rechtstreeks en zo mogelijk vóór een openbare verklaring.
- Publiek: mededeling op de website, zo nodig een persbericht.
Volgens art. 34 AVG moeten betrokkenen onverwijld worden geïnformeerd als een inbreuk op de gegevensbescherming waarschijnlijk een hoog risico voor hen oplevert. De hoofdlijnen legt Meldplicht AVG: 72 uur uit.
Wat in een bericht hoort
Een goed bericht is kort en beantwoordt de vragen die betrokkenen zich stellen. Deze indeling heeft zich bewezen:
| Onderdeel | Inhoud |
|---|---|
| Wat is er gebeurd? | Zakelijke beschrijving in eenvoudige woorden, met periode |
| Wat weten we, wat niet? | Vaststaande feiten gescheiden van lopend onderzoek |
| Wie is getroffen? | Groepen personen of gegevens, voor zover bekend |
| Wat hebben we gedaan? | Directe maatregelen, inschakelen van deskundigen en autoriteiten |
| Wat moet u doen? | Concrete aanbevelingen, bijvoorbeeld wachtwoord wijzigen, op phishing letten |
| Hoe bereikt u ons? | Vast aanspreekpunt voor vragen |
Kondig aan wanneer u opnieuw informeert, en kom die toezegging na. Ook een „nog geen nieuwe bevindingen” op het aangekondigde tijdstip schept vertrouwen.
Bereid sjablonen voor interne informatie, klantbericht en websitemededeling voor voordat er iets gebeurt. In een noodgeval hoeven dan alleen nog de feiten te worden ingevuld.
Wat u beter vermijdt
Enkele formuleringen en gedragingen schaden regelmatig:
- Voorbarig geruststellen: „Er zijn geen gegevens buitgemaakt” is alleen toegestaan als het onderbouwd is. Een doorgevoerde patch bewijst niet dat er eerder niets is gebeurd.
- Bagatelliseren: termen als „klein technisch incident” komen oneerlijk over als later meer bekend wordt.
- Schuldtoewijzing: verwijzingen naar hostingprovider, dienstverlener of fabrikant helpen betrokkenen niet en kunnen juridische gevolgen hebben.
- Technische details die aanvallers helpen: concrete zwakke punten van uw systemen horen niet in openbare berichten.
- Garanties: uitspraken als „volledig veilig” of „niet te hacken” zijn niet vol te houden.
Website, zoekmachines en phishinggolf
Na een aanval op een website komen vaak twee bijverschijnselen: ten eerste kan Google een waarschuwing tonen als schadelijke code is gevonden; hoe u die na de opschoning laat verwijderen, staat onder Google-waarschuwing verwijderen. Ten tweede gebruiken oplichters bekende incidenten voor valse e-mails in naam van het getroffen bedrijf. Waarschuw uw klanten daar actief voor en vermeld via welke kanalen u daadwerkelijk communiceert.
Haalt u de website preventief offline, dan volstaat een eenvoudige statische pagina met een korte mededeling en een contactkanaal dat niet afhankelijk is van de getroffen server.
Is het incident afgerond, dan loont een afsluitend bericht aan iedereen die u eerder hebt geïnformeerd: wat het onderzoek heeft opgeleverd, welke maatregelen duurzaam zijn doorgevoerd en tot wie men zich verder kan wenden. Veel bedrijven laten deze stap achterwege omdat de druk afneemt. Juist die stap toont echter dat u het incident serieus hebt genomen. Evalueer bovendien intern wat er in de communicatie goed ging en wat niet, en pas sjablonen en verantwoordelijkheden in uw noodplan dienovereenkomstig aan.
Hoe helpt PHP SOS concreet?
- Wij leveren de technische feiten begrijpelijk uitgewerkt en maken een duidelijk onderscheid tussen onderbouwd, waarschijnlijk en onbekend.
- Wij controleren ontwerpen van uw berichten op technische juistheid en op details die aanvallers kunnen helpen.
- Wij zetten op korte termijn een statische onderhoudspagina klaar die onafhankelijk van het getroffen systeem draait.
- Via Incident Response houden we de techniek in de pas met uw communicatie, zodat toezeggingen over de stand van informatie kunnen worden nagekomen.
Veelgestelde vragen
Moeten wij een aanval openbaar maken zolang nog niet alles duidelijk is?
Dat hangt af van situatie, verplichtingen en betrokkenen. Vaak is een kort, zakelijk bericht met de bekende stand beter dan zwijgen, omdat klanten en partners het anders uit andere bronnen vernemen. Stem het tijdstip af met juridisch adviseur en verzekeraar.
Wat mag in een klantbericht in geen geval staan?
Vermoedens die als feiten overkomen, schuldtoewijzing aan derden, technische details die aanvallers helpen en toezeggingen die u niet zeker kunt nakomen. Formuleringen zoals volledig uitgesloten gebruikt u alleen als ze onderbouwd zijn.
Wie moet naar buiten toe spreken?
Een aangewezen persoon, meestal uit de bedrijfsleiding of bedrijfscommunicatie, ondersteund door techniek en juridisch advies. Alle anderen verwijzen naar dit aanspreekpunt. Zo blijven de uitspraken eenduidig.
Moeten wij onze website offline halen en dat uitleggen?
Haalt u de website preventief van het net, dan helpt een korte mededeling, bijvoorbeeld op een statische onderhoudspagina. Die hoeft niet technisch te zijn. Een preventief offline halen betekent niet automatisch dat een aanval is geslaagd.