Krótko: Dobra komunikacja kryzysowa po cyberataku jest szybka, uczciwa i spójna. Proszę informować najpierw wewnętrznie, potem osoby dotknięte i partnerów, i mówić tylko to, co jest pewne, wyraźnie oddzielając to od tego, co jeszcze jest badane. Obowiązki zawiadomienia, na przykład według art. 34 RODO, należy uzgodnić z inspektorem ochrony danych i doradcą prawnym; ta strona nie jest poradą prawną.
Dlaczego komunikacja jest częścią obsługi incydentu
Atak na serwer WWW jest najpierw problemem technicznym. Bardzo szybko staje się jednak także kwestią zaufania: klienci zauważają niedostępną stronę, partnerzy otrzymują podejrzane maile, pracownicy pytają. Kto wtedy milczy lub odpowiada sprzecznie, traci więcej zaufania niż przez sam incydent.
Obecna sytuacja wokół PHP2Shell czyni to namacalnym. Wiele firm prewencyjnie wyłączyło swoje strony lub krótko prowadziło prace konserwacyjne. Nie oznacza to automatycznie, że zostały zhakowane. Właśnie to rozróżnienie powinni Państwo umieć jasno i spokojnie wyjaśnić na zewnątrz.
Komunikacja kryzysowa po cyberataku: właściwa kolejność
Sprawdzona kolejność zapobiega temu, aby ważne grupy dowiadywały się z prasy lub od osób trzecich:
- Zespół kryzysowy wewnętrznie: kierownictwo, dział techniczny, ochrona danych, w razie potrzeby doradca prawny i ubezpieczyciel. Tu zapada decyzja, co zostanie powiedziane.
- Pracownicy: krótka informacja wewnętrzna z prośbą o przekazywanie zapytań wyznaczonej osobie i wskazówkami o ostrożności wobec podejrzanych maili.
- Organy, gdzie to konieczne: na przykład organ nadzorczy ochrony danych według art. 33 RODO, BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) przy obowiązku NIS2, policja przy zawiadomieniu. Kolejność uzgadniają Państwo z doradcą prawnym.
- Dotknięci klienci i partnerzy: bezpośrednio i, jeśli to możliwe, przed publicznym oświadczeniem.
- Opinia publiczna: informacja na stronie, w razie potrzeby oświadczenie dla prasy.
Według art. 34 RODO osoby, których dane dotyczą, należy niezwłocznie zawiadomić, jeśli naruszenie ochrony danych prawdopodobnie powoduje dla nich wysokie ryzyko. Podstawy wyjaśnia artykuł Obowiązek zgłoszenia z RODO: 72 godziny.
Co powinien zawierać komunikat
Dobry komunikat jest krótki i odpowiada na pytania, które zadają sobie osoby dotknięte. Sprawdził się następujący układ:
| Część | Treść |
|---|---|
| Co się stało? | Rzeczowy opis prostymi słowami, z okresem |
| Co wiemy, a czego nie? | Pewne fakty oddzielone od trwającego badania |
| Kogo to dotyczy? | Grupy osób lub danych, o ile znane |
| Co zrobiliśmy? | Środki doraźne, zaangażowanie fachowców i organów |
| Co powinni Państwo zrobić? | Konkretne zalecenia, np. zmienić hasło, uważać na phishing |
| Jak się z nami skontaktować? | Stały punkt kontaktowy dla pytań |
Proszę zapowiedzieć, kiedy ponownie Państwo poinformują, i dotrzymać tej obietnicy. Także „nadal brak nowych ustaleń” w zapowiedzianym terminie buduje zaufanie.
Proszę przygotować wzory informacji wewnętrznej, komunikatu dla klientów i noty na stronie, zanim cokolwiek się wydarzy. W sytuacji kryzysowej wystarczy wtedy wstawić fakty.
Czego lepiej unikać
Niektóre sformułowania i zachowania regularnie szkodzą:
- Pochopne uspokojenie: „Nie wykradziono żadnych danych” jest dopuszczalne tylko wtedy, gdy jest udokumentowane. Zainstalowana poprawka nie dowodzi, że wcześniej nic się nie stało.
- Bagatelizowanie: Określenia w rodzaju „drobny incydent techniczny” wydają się nieuczciwe, jeśli później wyjdzie na jaw więcej.
- Obarczanie winą: Wskazywanie na hostera, usługodawcę lub producenta nie pomaga osobom dotkniętym i może mieć skutki prawne.
- Szczegóły techniczne przydatne w ataku: Konkretne słabości Państwa systemów nie należą do publicznych komunikatów.
- Gwarancje: Stwierdzeń w rodzaju „całkowicie bezpieczne” lub „niemożliwe do zhakowania” nie da się utrzymać.
Strona, wyszukiwarki i fala phishingu
Po ataku na stronę często pojawiają się dwa zjawiska towarzyszące. Po pierwsze, Google może wyświetlić ostrzeżenie, jeśli znaleziono szkodliwy kod; jak je usunąć po oczyszczeniu, wyjaśnia artykuł Usunięcie ostrzeżenia Google. Po drugie, oszuści wykorzystują znane incydenty do fałszywych maili w imieniu dotkniętej firmy. Proszę aktywnie ostrzec klientów i podać, jakimi drogami faktycznie się Państwo komunikują.
Jeśli wyłączają Państwo stronę prewencyjnie, wystarczy prosta statyczna strona z krótką informacją i drogą kontaktu niezależną od dotkniętego serwera.
Gdy incydent jest zakończony, opłaca się końcowy komunikat do wszystkich, których wcześniej poinformowano: co wykazało badanie, jakie środki wdrożono na stałe i do kogo nadal można się zwracać. Wiele firm pomija ten krok, bo presja słabnie. Właśnie on pokazuje jednak, że potraktowano incydent poważnie. Proszę wewnętrznie ocenić także, co w komunikacji poszło dobrze, a co nie, i odpowiednio dostosować wzory i odpowiedzialności w planie awaryjnym.
Jak konkretnie pomaga PHP SOS?
- Dostarczamy fakty techniczne w zrozumiałej formie i wyraźnie oddzielamy to, co udokumentowane, prawdopodobne i nieznane.
- Sprawdzamy projekty Państwa komunikatów pod kątem poprawności technicznej i szczegółów, które mogłyby pomóc atakującym.
- W krótkim czasie udostępniamy statyczną stronę konserwacyjną, działającą niezależnie od dotkniętego systemu.
- Przez reagowanie na incydenty utrzymujemy technikę w rytmie Państwa komunikacji, aby zobowiązania dotyczące stanu informacji można było dotrzymać.
Częste pytania
Czy mamy upublicznić atak, dopóki nie wszystko jest jasne?
Zależy to od sytuacji, obowiązków i osób dotkniętych. Często krótki, rzeczowy komunikat ze znanym stanem jest lepszy niż milczenie, bo klienci i partnerzy dowiedzą się inaczej z innych źródeł. Moment proszę uzgodnić z doradcą prawnym i ubezpieczycielem.
Czego nie powinno być w komunikacie dla klientów pod żadnym pozorem?
Przypuszczeń przedstawianych jako fakty, obarczania winą osób trzecich, szczegółów technicznych pomagających atakującym i zobowiązań, których nie można pewnie dotrzymać. Sformułowań w rodzaju „całkowicie wykluczone” proszę używać tylko wtedy, gdy są udokumentowane.
Kto powinien wypowiadać się na zewnątrz?
Wyznaczona osoba, zwykle z kierownictwa lub komunikacji korporacyjnej, wspierana przez dział techniczny i doradcę prawnego. Wszyscy pozostali odsyłają do tej osoby. Dzięki temu wypowiedzi pozostają spójne.
Czy musimy wyłączyć stronę i to wyjaśnić?
Jeśli wyłączają Państwo stronę prewencyjnie, pomaga krótka informacja, na przykład na statycznej stronie konserwacyjnej. Nie musi być techniczna. Prewencyjne wyłączenie nie oznacza automatycznie, że atak się powiódł.