Pe scurt: O comunicare de criză bună după un atac cibernetic este rapidă, sinceră și unitară. Informați mai întâi intern, apoi persoanele afectate și partenerii, și spuneți doar ce este sigur, separat clar de ceea ce este încă în investigație. Obligațiile de informare, de exemplu conform art. 34 RGPD, se coordonează cu responsabilul cu protecția datelor și cu consultanța juridică; această pagină nu este consultanță juridică.
De ce comunicarea face parte din gestionarea incidentului
Un atac asupra unui server web este mai întâi o problemă tehnică. Foarte repede devine însă și o chestiune de încredere: clienții observă un site inaccesibil, partenerii primesc e-mailuri suspecte, angajații pun întrebări. Cine tace atunci sau răspunde contradictoriu pierde mai multă încredere decât din cauza incidentului însuși.
Situația actuală din jurul PHP2Shell face acest lucru palpabil. Multe companii și-au scos site-urile din rețea ca măsură de precauție sau le-au întreținut pe termen scurt. Asta nu înseamnă automat că au fost atacate. Exact această distincție ar trebui să o puteți explica clar și calm în exterior.
Comunicarea de criză după un atac cibernetic: ordinea corectă
O ordine verificată împiedică grupuri importante să afle din presă sau de la terți:
- Echipa de criză internă: conducerea, tehnica, protecția datelor, dacă este cazul consultanța juridică și asigurătorul. Aici se hotărăște ce se spune.
- Angajații: o scurtă informare internă, cu rugămintea de a transmite solicitările către punctul desemnat, și indicații privind prudența față de e-mailurile suspecte.
- Autorități, acolo unde este necesar: de exemplu autoritatea de protecție a datelor conform art. 33 RGPD, BSI (Oficiul Federal German pentru Securitatea Informațiilor) în caz de obligații NIS2, poliția în caz de plângere. Ordinea o coordonați cu consultanța dumneavoastră juridică.
- Clienții și partenerii afectați: direct și, dacă este posibil, înainte de o declarație publică.
- Publicul: indicație pe site, dacă este cazul comunicat de presă.
Conform art. 34 RGPD, persoanele afectate trebuie informate fără întârziere nejustificată dacă o încălcare a protecției datelor este susceptibilă să genereze pentru ele un risc ridicat. Elementele de bază le explică Obligația de notificare RGPD: 72 de ore.
Ce aparține într-un mesaj
Un mesaj bun este scurt și răspunde întrebărilor pe care și le pun persoanele afectate. Această structură s-a dovedit utilă:
| Secțiune | Conținut |
|---|---|
| Ce s-a întâmplat? | Descriere obiectivă în cuvinte simple, cu perioada |
| Ce știm și ce nu? | Fapte sigure, separat de investigația în curs |
| Cine este afectat? | Grupuri de persoane sau de date, în măsura în care sunt cunoscute |
| Ce am făcut? | Măsuri imediate, implicarea specialiștilor și a autorităților |
| Ce ar trebui să faceți dumneavoastră? | Recomandări concrete, de exemplu schimbarea parolei, atenție la phishing |
| Cum ne puteți contacta? | Punct fix de contact pentru întrebări |
Anunțați când veți informa din nou și respectați această promisiune. Și un „încă nicio constatare nouă” la momentul anunțat creează încredere.
Pregătiți șabloane pentru informarea internă, mesajul către clienți și indicația de pe site înainte să se întâmple ceva. În caz grav va trebui doar să introduceți faptele.
Ce este mai bine să evitați
Unele formulări și comportamente dăunează în mod regulat:
- Liniștire pripită: „Nu au fost sustrase date” este admisibil doar dacă este dovedit. Un patch instalat nu dovedește că înainte nu s-a întâmplat nimic.
- Minimalizare: expresii precum „mic incident tehnic” par nesincere dacă mai târziu se află mai mult.
- Învinuire: trimiterile la hoster, prestatori sau producători nu ajută persoanele afectate și pot avea consecințe juridice.
- Detalii tehnice utile atacatorilor: vulnerabilitățile concrete ale sistemelor dumneavoastră nu aparțin în mesajele publice.
- Garanții: afirmații precum „complet sigur” sau „de nepătruns” nu pot fi susținute.
Site, motoare de căutare și valul de phishing
După un atac asupra unui site apar adesea două fenomene însoțitoare. În primul rând, Google poate afișa un avertisment dacă a fost găsit cod malițios; cum îl faceți eliminat după curățare găsiți la Eliminarea avertismentului Google. În al doilea rând, escrocii folosesc incidentele cunoscute pentru e-mailuri false în numele companiei afectate. Avertizați activ clienții împotriva acestui lucru și indicați prin ce căi comunicați efectiv.
Dacă scoateți site-ul din rețea ca măsură de precauție, este suficientă o pagină statică simplă, cu o scurtă indicație și o cale de contact care nu depinde de serverul afectat.
După încheierea incidentului merită un mesaj final către toți cei pe care i-ați informat anterior: ce a rezultat din investigație, ce măsuri au fost implementate durabil și cui se pot adresa în continuare. Multe companii omit acest pas, pentru că presiunea scade. Tocmai el arată însă că ați luat incidentul în serios. Evaluați în plus intern ce a mers bine în comunicare și ce nu și adaptați în consecință șabloanele și responsabilitățile din planul dumneavoastră de urgență.
Cum ajută PHP SOS concret?
- Furnizăm faptele tehnice pregătite ușor de înțeles și separăm clar între dovedit, probabil și necunoscut.
- Verificăm proiectele mesajelor dumneavoastră din punctul de vedere al corectitudinii tehnice și al detaliilor care ar putea ajuta atacatorii.
- Punem rapid la dispoziție o pagină statică de mentenanță, care rulează independent de sistemul afectat.
- Prin răspunsul la incidente menținem tehnica în ritmul comunicării dumneavoastră, pentru ca promisiunile privind nivelul de informare să poată fi respectate.
Întrebări frecvente
Ar trebui să facem atacul public cât timp nu este încă totul clar?
Depinde de situație, de obligații și de persoanele afectate. Adesea, un mesaj scurt și obiectiv, cu starea cunoscută, este mai bun decât tăcerea, pentru că altfel clienții și partenerii află din alte surse. Coordonați momentul cu consultanța juridică și cu asigurătorul.
Ce nu trebuie să apară în niciun caz într-un mesaj către clienți?
Presupuneri care apar drept fapte, învinuiri aduse terților, detalii tehnice care ajută atacatorii și promisiuni pe care nu le puteți respecta cu certitudine. Formulări precum exclus complet ar trebui folosite doar dacă sunt dovedite.
Cine ar trebui să vorbească în exterior?
O persoană desemnată, de obicei din conducere sau din comunicarea corporativă, sprijinită de tehnică și de consultanța juridică. Toți ceilalți trimit către acest punct. Astfel declarațiile rămân unitare.
Trebuie să scoatem site-ul din rețea și să explicăm asta?
Dacă scoateți site-ul din rețea ca măsură de precauție, ajută o scurtă indicație, de exemplu pe o pagină statică de mentenanță. Ea nu trebuie să fie tehnică. Scoaterea preventivă din rețea nu înseamnă automat că un atac a reușit.