V prvních hodinách bezpečnostního incidentu si nemůžete udělat úplný technický obrázek o tom, co se stalo. Váš tým se možná stále snaží pochopit, který účet byl kompromitován, k jakým datům bylo přistupováno, jak daleko se útočník dostal, nebo zda je incident stále aktivní.
Souběžně s vaším vyšetřováním začíná okamžitě tlak na jednání. Zaměstnanci slyší útržky a potřebují vědět, co dělat. Mezitím si zákazníci mohou všimnout výpadku služeb, podezřelé aktivity nebo neobvyklých žádostí o reset hesla. Obchodní partneři se mohou ptát, zda jsou jejich systémy nebo data zasažena, a vedení musí rozhodnout, kdo promluví, co lze potvrdit a kdy se mlčení stává rizikem samo o sobě.
Komunikace o bezpečnostním incidentu je obtížná, protože firma musí být transparentní, než má všechny odpovědi, ale dostatečně informovaná, aby nehádala. Příliš brzy odeslaná komunikace může způsobit zmatek, ale pokud je odeslána příliš pozdě, může poškodit důvěru, zpomalit ochranné akce a vyvolat regulační otázky.
Je nepravděpodobné, že by malé a středně velké firmy vytvořily nebo nacvičily svůj plán reakce na incident, a to může způsobit další chaos. I u větších firem s plánem mohou být technické kroky zdokumentovány: zastavit incident, resetovat přístup, zachovat důkazy, obnovit systémy. Komunikace může být odložena na později, dokud incident náhle eskaluje nebo se změní.
Součástí přípravy na incident je vědět, kdo od vás potřebuje slyšet, co potřebuje vědět, kdo schvaluje zprávu a jak jasně komunikovat fakta, zatímco vyšetřování stále probíhá.
Plánování komunikace patří do reakce na incident
Dvoukolejná struktura vaší reakce
Začněte publikem, ne oznámením
Jak informovat zákazníky o úniku informací
Kdy informovat regulační orgány
Připravte si zprávy, než je budete potřebovat
Jak může Proton Pass for Business pomoci
Plánování komunikace patří do reakce na incident
Reakce na incident je často popisována jako technický proces, ale skutečný incident se rychle stává mezifunkčním. IT týmy mohou zastavit hrozbu, ale vedení, právní oddělení, zákaznická podpora, HR, komunikace a provoz potřebují vědět, co se děje a co mohou říkat.
Pokyny NCSC k efektivní komunikaci při kybernetickém incidentu(nové okno) – obecně osvědčený postup, který platí daleko za hranicemi Velké Británie – jasně zdůrazňují: organizace často upřednostňují technickou reakci a komunikaci odsouvají do pozadí, i když komunikace utváří to, jak zaměstnanci, zákazníci, zainteresované strany a média vnímají organizaci během krize.
Ne každý incident vyžaduje veřejné prohlášení. Firma by ale měla předem vědět, kdo rozhoduje o tom, co komunikovat, kdo schvaluje externí zprávy, kdo mluví se zákazníky a kdo se zabývá regulačním hlášením.
Silný plán reakce na únik dat musí zahrnovat komunikační vrstvu. Ta by měla obsahovat praktické detaily:
- Seznamy kontaktů
- Šablony konceptů
- Schvalovací postupy
- Právní posouzení
- Klíčové body pro zákaznickou podporu
- Odpovědnosti za oznámení regulátorovi
- Záznamy o tom, co bylo odesláno, kdy a komu
Dvoukolejná struktura vaší reakce
Reakce na incident potřebuje dvě koleje: technickou reakci a komunikační reakci. Běží paralelně vedle sebe a vedoucí incidentu / vlastník reakce je obě propojuje.
| Levá kolej: technická reakce | Pravá kolej: komunikační reakce |
| Omezit incident | Aktualizovat interní tým |
| Zabezpečit postižené účty | Informovat postižené zákazníky nebo partnery |
| Zachovat důkazy | Posoudit oznámení regulátorovi |
| Obnovit systémy | Udržovat zprávy konzistentní, jak se fakta mění |
To vám umožňuje strukturovat vaši reakci a zajistit, aby spolupráce pokračovala, když členové týmu přebírají různé úkoly.
Začněte publikem, ne oznámením
Komunikace o bezpečnostním incidentu selhává, když se jedna zpráva snaží posloužit všem. Zaměstnanci, zákazníci, partneři a regulátoři potřebují různé úrovně detailů, protože se musí rozhodovat různě.
Váš interní tým potřebuje nejprve jasno
Nepotřebují každý detail – zejména dokud vyšetřování probíhá – ale potřebují jasno v tom, co je potvrzeno, co dělat právě teď a kdo vede reakci. To znamená vědět, kterým systémům nebo účtům se vyhnout, jakou akci okamžitě podniknout a které otázky jsou stále otevřené.
Zaměstnanci také potřebují vědět, co nedělat. Například:
- Nediskutujte o incidentu veřejně
- Neresetujte přihlašovací údaje mimo schválený proces
- Nekontaktujte zákazníky s improvizovanými vysvětleními
- Nepřeposílejte podezřelé zprávy bez pokynů.
Zákazníci a partneři potřebují vědět, jak jsou ovlivněni
Chtějí vědět, zda jsou ovlivněna jejich data, přístup, platby, služby nebo provoz. Dobré oznámení pro zákazníky by mělo vysvětlit:
- Co je známo
- Jaký typ dat může být dotčen
- Co firma dělá
- Co by zákazníci měli nyní udělat, pokud vůbec něco
- Kde mohou získat aktualizace.
Tón by měl být jednoduchý a přímý. Zákazníci také nepotřebují forenzní detaily, potřebují pouze dostatek informací, aby se ochránili.
Regulační orgány potřebují věcný záznam
Oznámení o úniku informací podle GDPR příslušnému dozorovému orgánu (ve Spojeném království ICO(nové okno), v každém členském státě EU národní orgán pro ochranu osobních údajů) není marketingová zpráva ani uklidňující zpráva pro zákazníky. Místo toho musí být věcným záznamem o tom, co se stalo, kdo je postižen a co s tím děláte. Přesně tomu, co má obsahovat, se věnujeme v části o oznamování regulačním orgánům níže.
Co komunikovat interně
Vaši zaměstnanci jsou součástí reakce, i když nejsou součástí incidentního týmu. Zmatený tým může neúmyslně vytvořit více šumu, sdílet nepřesné informace nebo zpomalit zastavení incidentu. Na druhou stranu dobře informovaný tým může pomoci chránit účty, nasměrovat zákazníky správným kanálem a zabránit růstu spekulací.
Interní oznámení o bezpečnostním incidentu by mělo obsahovat:
- Jasné shrnutí toho, co bylo dosud potvrzeno, jednoduchým jazykem
- Které systémy, účty, týmy nebo data mohou být potenciálně postiženy
- Co firma nyní dělá
- Co by zaměstnanci měli okamžitě udělat
- Kdo může komunikovat externě
- Kde budou zveřejněny aktualizace
- Jak nahlásit související podezřelou aktivitu
Existují aspekty, které by neměly být zahrnuty: útočné vektory, analýza příčin a konkrétní zranitelnosti se obecně interně nesdílejí, dokud incident probíhá, a často ani poté, protože tyto detaily mohou pomoci jiným útočníkům, vytvořit právní riziko nebo odhalit mezery, které ještě nebyly zavřeny.
První interní zpráva nemusí odpovídat na všechny otázky, musí nastolit pořádek. Například zaměstnanci mohou potřebovat resetovat hesla pouze prostřednictvím schváleného procesu, vyhnout se používání konkrétního systému, uchovat podezřelé e-maily nebo přestat používat sdílené přihlašovací údaje, dokud tým reakce nedokončí kontrolu.
Hodnocení stávajících přístupových kontrol podle osvědčených postupů pro správu hesel je také zásadní. Během incidentu může zastaralé nebo neformální sdílení přihlašovacích údajů ztížit pochopení toho, co bylo odhaleno.
Průvodci Protonu pro ochranu před únikem informací a prevenci úniků informací pro firmy vysvětlují, jak vrstvené kontroly snižují riziko expozice před vznikem úniku. Zabezpečená správa přihlašovacích údajů je jednou z těchto vrstev, protože pomáhá firmě vědět, jaké účty existují, kdo k nim má přístup a co je třeba rychle změnit.
Jak informovat zákazníky o úniku informací
Oznámení o úniku informací zákazníkům je obtížnější, protože nese reputační a právní váhu. Lidé mohou mít obavy z krádeže identity, převzetí účtu, finančního podvodu nebo odhalení soukromých informací. Mohou být také frustrováni, že společnost incidentu nezabránila.
Dobrá zpráva pro zákazníky by měla být čestná, ale ne alarmující. Měla by se vyhnout technickému žargonu, ale být jasná. Zákazníci potřebují pochopit, jaká data byla zahrnuta, jaké riziko to vytváří a co by měli udělat dál.
Užitečná struktura je:
- Co se stalo, na úrovni detailů vhodné pro zákazníky
- Kdy se firma dozvěděla
- Jaké informace nebo služby mohou být postiženy
- Jaké kroky firma podnikla
- Co by zákazníci měli nyní udělat
- Jak bude firma poskytovat aktualizace
- Na koho se zákazníci mohou obrátit s dotazy
Pokud vyšetřování stále probíhá, mělo by to být uvedeno. Přesnost a transparentnost pomáhají obnovit důvěru. Otevřenost ohledně dopadu nevyžaduje zveřejnění technických detailů, které by někomu pomohly útok zopakovat.
U závažných incidentů mohou zákazníci potřebovat praktické pokyny: změnit heslo, aktivovat MFA, dávat pozor na phishingové e-maily, kontaktovat svou banku a ignorovat zprávy, které tvrdí, že jsou od společnosti, pokud nepřicházejí oficiálním kanálem. Oznámení by mělo tyto kroky usnadnit pochopení.
Kdy a jak informovat regulační orgány
Ne každý bezpečnostní incident musí být nahlášen dozorovým orgánům. Oznamovatelný únik podle britského a unijního GDPR závisí na tom, zda únik osobních údajů pravděpodobně povede k riziku pro práva a svobody lidí.
Pokyny ICO k únikům osobních údajů(nové okno) odrážejí požadavek společný pro britské i unijní GDPR: organizace musí nahlásit oznamovatelný únik bez zbytečného odkladu a nejpozději do 72 hodin poté, co se o něm dozvěděly. Pozdní hlášení vyžaduje důvody zpoždění.
Toto 72hodinové okno může vytvářet tlak, zvláště když vyšetřování ještě není dokončeno. GDPR uznává, že organizace nemusí mít všechny detaily v prvních 72 hodinách, takže informace mohou být poskytovány postupně, pokud jsou další aktualizace poskytovány bez zbytečného odkladu.
Oznámení příslušnému dozorovému orgánu (ve Spojeném království ICO, v EU národnímu orgánu pro ochranu osobních údajů) by obvykle mělo obsahovat:
- Povaha úniku osobních údajů
- Kategorie a přibližný počet postižených osob
- Kategorie a přibližný počet postižených záznamů osobních údajů
- Jméno a kontaktní údaje DPO nebo jiného kontaktního místa
- Pravděpodobné důsledky úniku
- Opatření přijatá nebo navržená k řešení
ICO také poskytuje centrální stránku pro nahlášení úniku(nové okno) a směruje organizace k příslušnému procesu hlášení.
Pro postižené jednotlivce je práh odlišný. Pokud únik osobních údajů pravděpodobně povede k vysokému riziku pro práva a svobody lidí, musí být informováni bez zbytečného odkladu. To je situace, do které by se měly právní týmy, týmy pro soukromí a vedení zapojit včas, a to i v malé firmě.
Připravte si zprávy, než je budete potřebovat
Nejhorší čas na navrhování komunikačního procesu je během incidentu. Není užitečné vydávat prohlášení nebo pokyny, které je třeba aktualizovat a měnit.
Proto je užitečné připravit strukturu svých zpráv, než je budete potřebovat. Ne konečné znění, protože každý incident bude jiný, ale strukturu: kdo musí schválit zprávu, které detaily musí být zahrnuty, kde budou zaznamenány aktualizace a kdo je odpovědný za každé publikum.
Jednoduchá komunikační sada stačí k tomu, aby byla první hodina méně chaotická. Může obsahovat:
- Šablona interního oznámení incidentu
- Šablona oznámení zákazníkům
- Šablona pro aktualizaci partnerů nebo dodavatelů
- Klíčové body pro zákaznickou podporu
- Kontrolní seznam pro oznámení dozorovému úřadu
- Seznam schválených mluvčích
- Kontakty pro eskalaci v oblasti práva, IT, soukromí, vedení a komunikace
- Místo pro záznam všech aktualizací a rozhodnutí
Příprava dává týmu bezpečný výchozí bod, když jsou rychlost i přesnost důležité. Připravená šablona ponechává více pozornosti faktům incidentu: co se stalo, kdo je zasažen, co již bylo provedeno a co lidé musí udělat dále.
Jak může Proton Pass for Business pomoci
Komunikace bezpečnostního incidentu závisí na faktech. Čím jasněji firma spravuje přístup před incidentem, tím snáze vysvětlí, co se stalo, co může být zasaženo a co bylo změněno.
Firemní správce hesel, jako je Proton Pass for Business, pomáhá týmům snížit expozici související s přihlašovacími údaji. Zaměstnanci mohou generovat silná hesla, ukládat je do šifrovaných trezorů hesel, používat automatické vyplňování, bezpečně sdílet přihlašovací údaje, spravovat přístupové klíče a používat vestavěné dvoufázové ověření. Správci mohou používat zásady hesel, kontrolovat logy aktivit, spravovat přístup pomocí řízení na základě rolí a podporovat zřizování prostřednictvím integrace SCIM a SSO.
Během incidentu mohou tyto funkce firmám pomoci jednat s větší jistotou. Pokud je zaměstnanecký účet kompromitován, správci mohou zkontrolovat přístup, identifikovat sdílené přihlašovací údaje, které může být nutné obměnit, vynutit silnější ověření a omezit spoléhání na hesla kopírovaná přes chat nebo tabulky.
S firemním správcem hesel budete připraveni reagovat dříve, než dojde k úniku informací.
