I de første timer af en sikkerhedshændelse kan du ikke danne et fuldstændigt teknisk billede af, hvad der er sket. Dit team forsøger måske stadig at forstå, hvilken konto der blev kompromitteret, hvilke data der blev fået adgang til, hvor langt angriberen nåede, eller om hændelsen stadig er aktiv.
Samtidig med din undersøgelse begynder presset for at handle med det samme. Medarbejdere hører fragmenter og har brug for at vide, hvad de skal gøre. I mellemtiden kan kunder bemærke serviceafbrydelser, mistænkelig aktivitet eller usædvanlige anmodninger om nulstilling af adgangskode. Forretningspartnere kan spørge, om deres systemer eller data er involveret, og ledelsen skal beslutte, hvem der taler, hvad der kan bekræftes, og hvornår tavshed bliver en risiko i sig selv.
Kommunikation om sikkerhedshændelser er vanskelig, fordi en virksomhed skal være gennemsigtig, før den har alle svar, men informeret nok til ikke at gætte. Kommunikation, der sendes for tidligt, kan skabe forvirring, men hvis den sendes for sent, kan den skade tilliden, bremse beskyttende handlinger og rejse regulatoriske spørgsmål.
Det er usandsynligt, at små og mellemstore virksomheder har oprettet eller øvet deres plan for hændelseshåndtering, og det kan skabe yderligere kaos. Selv for større virksomheder med en plan kan de tekniske trin være dokumenteret: begræns hændelsen, nulstil adgang, bevar beviser, genopret systemer. Kommunikation kan blive udskudt til senere, indtil hændelsen pludselig eskalerer eller ændrer sig.
En del af forberedelsen på en hændelse er at vide, hvem der har brug for at høre fra dig, hvad de har brug for at vide, hvem der godkender beskeden, og hvordan man kommunikerer fakta klart, mens undersøgelsen stadig er i gang.
Kommunikationsplanlægning hører til i hændelseshåndtering
To-sporet struktur for din respons
Start med modtageren, ikke meddelelsen
Hvad der skal kommunikeres internt
Sådan underretter du kunder om et databrud
Hvornår skal du underrette tilsynsmyndigheder
Forbered beskeder, før du får brug for dem
Hvordan Proton Pass for Business kan hjælpe
Kommunikationsplanlægning hører til i hændelseshåndtering
Hændelseshåndtering beskrives ofte som en teknisk proces, men en rigtig hændelse bliver hurtigt tværfaglig. IT-teams kan begrænse truslen, men ledelse, jura, kundesupport, HR, kommunikation og drift har alle brug for at vide, hvad der sker, og hvad de må sige.
NCSC’s vejledning om effektiv kommunikation i en cyberhændelse(nyt vindue) — generel bedste praksis, der gælder langt ud over Storbritannien — gør denne pointe klar: organisationer prioriterer ofte teknisk respons og skubber kommunikation i baggrunden, selvom kommunikation former, hvordan medarbejdere, kunder, interessenter og medierne opfatter organisationen under en krise.
Ikke enhver hændelse kræver en offentlig udtalelse. Men virksomheden bør på forhånd vide, hvem der beslutter, hvad der skal kommunikeres, hvem der godkender eksterne beskeder, hvem der taler med kunderne, og hvem der håndterer regulatorisk rapportering.
En stærk plan for håndtering af databrud skal indeholde et kommunikationslag. Det bør omfatte praktiske detaljer:
- Kontaktlister
- Udkastsskabeloner
- Godkendelsesruter
- Juridisk gennemgang
- Talerpunkter til kundesupport
- Ansvarsområder for underretning af myndigheder
- Registreringer af, hvad der blev sendt, hvornår og til hvem.
To-sporet struktur for din respons
Hændelseshåndtering har brug for to spor: teknisk respons og kommunikationsrespons. De kører parallelt, og hændelseslederen/ejeren af responsen forbinder dem begge.
| Venstre spor: Teknisk respons | Højre spor: Kommunikationsrespons |
| Inddæm hændelsen | Opdater det interne team |
| Sikr berørte konti | Underret berørte kunder eller partnere |
| Bevar beviser | Vurder underretning af myndigheder |
| Genopret systemer | Hold beskeder konsistente, når fakta ændrer sig |
Det giver dig mulighed for at strukturere din respons og sikre, at samarbejdet fortsætter, når teammedlemmer påtager sig forskellige opgaver.
Start med modtageren, ikke meddelelsen
Kommunikation om sikkerhedshændelser mislykkes, når én besked forsøger at tjene alle. Medarbejdere, kunder, partnere og myndigheder har brug for forskellige detaljeringsniveauer, fordi de skal træffe forskellige beslutninger.
Dit interne team har først brug for klarhed
De har ikke brug for hver eneste detalje — især ikke mens undersøgelsen er i gang — men de har brug for klarhed over, hvad der er bekræftet, hvad de skal gøre lige nu, og hvem der leder responsen. Det betyder at vide, hvilke systemer eller konti der skal undgås, hvilke handlinger der skal udføres med det samme, og hvilke spørgsmål der stadig er åbne.
Medarbejdere har også brug for at vide, hvad de ikke skal gøre. For eksempel:
- Diskutér ikke hændelsen offentligt
- Nulstil ikke legitimationsoplysninger uden for den godkendte proces
- Kontakt ikke kunder med improviserede forklaringer
- Videresend ikke mistænkelige beskeder uden vejledning.
Kunder og partnere har brug for at vide, hvordan de er berørt
De vil vide, om deres data, adgang, betalinger, service eller drift er berørt. En god kundeunderretning bør forklare:
- Hvad der vides
- Hvilken type data kan være involveret
- Hvad virksomheden gør
- Hvad kunderne bør gøre nu, hvis noget
- Hvor de kan få opdateringer.
Tonen skal være enkel og direkte. En kunde har heller ikke brug for tekniske detaljer, men kun tilstrækkelig information til at beskytte sig selv.
Myndigheder har brug for en faktuel redegørelse
En GDPR-databrudsnotifikation til den relevante tilsynsmyndighed – ICO(nyt vindue) i Storbritannien, den nationale databeskyttelsesmyndighed i hver EU-medlemsstat – er ikke en marketingbesked eller en beroligende besked til kunder. I stedet skal den være en faktuel redegørelse for, hvad der skete, hvem der er berørt, og hvad du gør ved det. Vi beskriver præcis, hvad der skal med i afsnittet om at underrette myndigheder nedenfor.
Hvad der skal kommunikeres internt
Dine medarbejdere er en del af responsen, selv når de ikke er en del af hændelsesteamet. Et forvirret team kan ved et uheld skabe mere støj, dele unøjagtige oplysninger eller bremse inddæmningen. På den anden side kan et velinformeret team hjælpe med at beskytte konti, guide kunder til den rigtige kanal og undgå, at spekulationer vokser.
En intern meddelelse om en sikkerhedshændelse bør indeholde:
- Et klart resumé af, hvad der er bekræftet indtil nu, i et enkelt sprog
- Hvilke systemer, konti, teams eller data er potentielt berørte
- Hvad virksomheden gør nu
- Hvad medarbejderne skal gøre med det samme
- Hvem der har tilladelse til at kommunikere eksternt
- Hvor opdateringer vil blive slået op
- Hvordan man rapporterer relateret mistænkelig aktivitet
Der er aspekter, der ikke bør inkluderes: angrebsvektorer, årsagsanalyse og specifikke sårbarheder deles generelt ikke internt, mens en hændelse er aktiv, og ofte heller ikke bagefter, da disse detaljer kan hjælpe andre angribere, skabe juridisk eksponering eller afsløre huller, der endnu ikke er lukket.
Den første interne besked behøver ikke at besvare alle spørgsmål, den skal skabe orden. For eksempel kan medarbejderne have brug for kun at nulstille adgangskoder gennem en godkendt proces, undgå at bruge et bestemt system, bevare mistænkelige e-mails eller stoppe med at bruge delte legitimationsoplysninger, indtil indsatsteamet er færdig med gennemgangen.
Det er også vigtigt at vurdere dine eksisterende adgangskontroller op imod bedste praksis for adgangskodehåndtering. Under en hændelse kan forældet eller uformel deling af legitimationsoplysninger gøre det sværere at forstå, hvad der blev eksponeret.
Protons guides til beskyttelse mod databrud og forebyggelse af databrud for virksomheder forklarer, hvordan lagdelte kontroller reducerer eksponering, før et databrud opstår. Sikker håndtering af legitimationsoplysninger er et af disse lag, fordi det hjælper virksomheden med at vide, hvilke konti der findes, hvem der kan få adgang til dem, og hvad der hurtigt skal ændres.
Sådan underretter du kunder om et databrud
En notifikation om databrud til kunder er sværere, fordi den har omdømmemæssig og juridisk vægt. Folk kan være bekymrede for identitetstyveri, overtagelse af konti, økonomisk svindel eller eksponering af private oplysninger. De kan også være frustrerede over, at virksomheden ikke forhindrede hændelsen.
En god kundebesked skal være ærlig uden at være alarmerende. Den skal undgå teknisk jargon, men være klar. Kunderne skal forstå, hvilke data der var involveret, hvilken risiko det skaber, og hvad de skal gøre herefter.
En nyttig struktur er:
- Hvad der skete, på et detaljeringsniveau, der passer til kunderne
- Hvornår virksomheden blev opmærksom på det
- Hvilke oplysninger eller tjenester der kan være berørte
- Hvilke skridt virksomheden har taget
- Hvad kunderne skal gøre nu
- Hvordan virksomheden vil give opdateringer
- Hvem kunderne kan kontakte med spørgsmål
Hvis undersøgelsen stadig er aktiv, bør det oplyses. Nøjagtighed og gennemsigtighed hjælper med at genoprette tilliden. At være åben om påvirkningen kræver ikke, at man afslører tekniske detaljer, som ville hjælpe nogen med at gentage angrebet.
Ved alvorlige hændelser kan kunderne have brug for praktiske instruktioner: skift adgangskode, aktivér MFA, hold øje med phishing-e-mails, kontakt deres bank, og ignorér beskeder, der hævder at være fra virksomheden, medmindre de kommer gennem en officiel kanal. Notifikationen skal gøre disse trin nemme at forstå.
Hvornår og hvordan man underretter tilsynsmyndigheder
Ikke alle sikkerhedshændelser skal rapporteres til tilsynsmyndighederne. Et anmeldelsespligtigt databrud i henhold til britisk og EU’s GDPR afhænger af, om et brud på personoplysninger sandsynligvis vil resultere i en risiko for folks rettigheder og friheder.
ICOs vejledning om brud på personoplysninger(nyt vindue) afspejler et krav, der er fælles for både britisk og EU’s GDPR: organisationer skal rapportere et anmeldelsespligtigt databrud uden unødig forsinkelse og senest 72 timer efter, at de er blevet opmærksomme på det. En sen rapport kræver en begrundelse for forsinkelsen.
Det 72-timers vindue kan skabe pres, især når undersøgelsen stadig er ufuldstændig. GDPR anerkender, at organisationer ikke behøver at have alle detaljer inden for de første 72 timer, så oplysninger kan gives i faser, så længe yderligere opdateringer gives uden unødig forsinkelse.
En notifikation til den relevante tilsynsmyndighed – ICO i Storbritannien eller den nationale databeskyttelsesmyndighed i EU – bør normalt indeholde:
- Arten af bruddet på personoplysninger
- Kategorierne og det omtrentlige antal berørte personer
- Kategorierne og det omtrentlige antal berørte personoplysningsposter
- Navn og kontaktdetaljer på DPO’en eller et andet kontaktpunkt
- De sandsynlige konsekvenser af databruddet
- De foranstaltninger, der er truffet eller foreslået for at håndtere det
ICO har også en central side til at rapportere et databrud(nyt vindue) og henvise organisationer til den relevante rapporteringsproces.
For berørte personer er tærsklen en anden. Hvor et brud på personoplysninger sandsynligvis vil resultere i en høj risiko for folks rettigheder og friheder, skal de informeres uden unødig forsinkelse. Det er en situation, hvor juridiske, privatlivs- og ledelsesteams tidligt bør inddrages, selv i en lille virksomhed.
Forbered beskeder, før du får brug for dem
Det værste tidspunkt at designe en kommunikationsproces på er under en hændelse. Det er ikke nyttigt at udsende erklæringer eller vejledning, der skal opdateres og ændres.
Det er derfor nyttigt at forberede strukturen i dine beskeder, før du får brug for dem. Ikke den endelige ordlyd, fordi hver hændelse vil være forskellig, men strukturen: hvem der skal godkende beskeden, hvilke detaljer der skal med, hvor opdateringer registreres, og hvem der er ansvarlig for hver målgruppe.
Et enkelt kommunikationskit er nok til at gøre den første time mindre kaotisk. Det kan indeholde:
- En skabelon til intern hændelsesmeddelelse
- En skabelon til kundenotifikation
- En skabelon til partner- eller leverandøropdatering
- Talerpunkter til kundesupport
- Tjekliste til notifikation af tilsynsmyndigheden
- Liste over godkendte talspersoner
- Eskaleringskontakter for jura, IT, privatliv, ledelse og kommunikation
- Et sted at registrere alle opdateringer og beslutninger
Forberedelse giver et team et sikkert udgangspunkt, når både hastighed og nøjagtighed er vigtige. En forberedt skabelon efterlader mere opmærksomhed til hændelsens fakta: hvad der skete, hvem der er berørt, hvad der allerede er gjort og hvad folk skal gøre næste gang.
Hvordan Proton Pass for Business kan hjælpe
Kommunikation om sikkerhedshændelser afhænger af fakta. Jo klarere en virksomhed administrerer adgang før en hændelse, jo lettere er det at forklare, hvad der skete, hvad der kan være berørt og hvad der er blevet ændret.
En adgangskodeadministrator til virksomheder som Proton Pass for Business hjælper teams med at reducere eksponering relateret til legitimationsoplysninger. Medarbejdere kan generere stærke adgangskoder, gemme dem i krypterede adgangskodebokse, bruge autofyld, dele legitimationsoplysninger sikkert, administrere adgangsnøgler og bruge indbygget tofaktorgodkendelse. Admins kan anvende adgangskodepolitikker, gennemgå aktivitetslogs, administrere adgang med rollebaserede kontroller og understøtte provisioning via SCIM- og SSO-integrationer.
Under en hændelse kan disse funktioner hjælpe virksomheder med at handle med større overbevisning. Hvis en medarbejderkonto kompromitteres, kan admins gennemgå adgang, identificere delte legitimationsoplysninger, der muligvis skal roteres, håndhæve stærkere godkendelse og reducere afhængigheden af adgangskoder, der kopieres via chat eller regneark.
Vær klar til at reagere, før et databrud sker, med en adgangskodeadministrator til virksomheder.
