Tietoturvapoikkeaman ensimmäisinä tunteina et voi muodostaa täydellistä teknistä kuvaa siitä, mitä tapahtui. Tiimisi saattaa yhä yrittää ymmärtää, mikä tili vaarantui, mitä tietoja käytettiin, kuinka pitkälle hyökkääjä pääsi tai onko poikkeama edelleen aktiivinen.
Tutkinnan ohella paine toimia alkaa välittömästi. Työntekijät kuulevat sirpaleita ja tarvitsevat tietää, mitä tehdä. Sillä välin asiakkaat voivat huomata palvelukatkoksia, epäilyttävää toimintaa tai tavallisuudesta poikkeavia salasanan palautuspyyntöjä. Yrityskumppanit voivat kysyä, liittyvätkö heidän järjestelmänsä tai tietonsa tapaukseen, ja johdon on päätettävä, kuka puhuu, mitä voidaan vahvistaa ja milloin hiljaisuudesta tulee itsessään riski.
Tietoturvapoikkeamasta viestiminen on vaikeaa, koska yrityksen on oltava läpinäkyvä ennen kuin sillä on kaikki vastaukset, mutta riittävän hyvin perillä asioista, jotta se ei arvaile. Liian aikaisin lähetetyt viestit voivat aiheuttaa sekaannusta, mutta liian myöhään lähetettyinä ne voivat vahingoittaa luottamusta, hidastaa suojaavia toimia ja herättää viranomaiskysymyksiä.
On epätodennäköistä, että pienet ja keskisuuret yritykset ovat laatineet tai harjoitelleet poikkeamanhallintasuunnitelmaansa, ja tämä voi aiheuttaa lisää kaaosta. Vaikka suuremmilla yrityksillä olisi suunnitelma, tekniset vaiheet voivat olla dokumentoituja: poikkeaman rajaaminen, käytön palauttaminen, todisteiden säilyttäminen, järjestelmien palauttaminen. Viestintä saatetaan jättää myöhemmäksi, kunnes poikkeama yhtäkkiä eskaloituu tai muuttuu.
Osa poikkeamaan varautumista on tietää, keiden on saatava sinulta tietoa, mitä heidän on tiedettävä, kuka hyväksyy viestin ja miten faktat viestitään selkeästi, kun tutkinta on vielä kesken.
Viestinnän suunnittelu on osa poikkeamanhallintaa
Vastauksen kaksiraiteinen rakenne
Aloita yleisöstä, älä tiedotteesta
Näin ilmoitat tietomurrosta asiakkaille
Milloin ilmoittaa viranomaisille
Valmistele viestit ennen kuin tarvitset niitä
Miten Proton Pass for Business voi auttaa
Viestinnän suunnittelu on osa poikkeamanhallintaa
Poikkeamanhallinta kuvataan usein teknisenä prosessina, mutta todellinen poikkeama muuttuu nopeasti koko organisaation asiaksi. IT-tiimit voivat rajata uhan, mutta johdon, lakiosaston, asiakaspalvelun, henkilöstöhallinnon, viestinnän ja operaatioiden on kaikkien tiedettävä, mitä tapahtuu ja mitä he saavat sanoa.
NCSC:n ohjeet tehokkaasta viestinnästä kyberturvapoikkeamassa(uusi ikkuna) (yleinen parhaita käytäntöjä koskeva ohje, joka pätee selvästi myös Britannian ulkopuolella) tekevät tämän selväksi: organisaatiot priorisoivat usein teknistä vastausta ja jättävät viestinnän taustalle, vaikka viestintä muokkaa sitä, miten henkilöstö, asiakkaat, sidosryhmät ja media näkevät organisaation kriisin aikana.
Kaikki poikkeamat eivät vaadi julkista lausuntoa. Yrityksen tulisi kuitenkin tietää etukäteen, kuka päättää, mitä viestitään, kuka hyväksyy ulkoiset viestit, kuka puhuu asiakkaille ja kuka hoitaa viranomaisraportoinnin.
Vahvaan tietomurron toimintasuunnitelmaan on sisällyttävä viestintäkerros. Sen tulee sisältää käytännön yksityiskohtia:
- Yhteystietolistat
- Luonnospohjat
- Hyväksyntäreitit
- Oikeudellinen tarkastelu
- Asiakaspalvelun keskusteluaiheet
- Viranomaisilmoitusten vastuut
- Merkinnät siitä, mitä lähetettiin, milloin ja kenelle.
Vastauksen kaksiraiteinen rakenne
Poikkeamanhallinta tarvitsee kaksi raidetta: teknisen vastauksen ja viestintävastauksen. Ne kulkevat rinnakkain, ja poikkeaman johtaja tai vastuuhenkilö yhdistää ne molemmat.
| Vasen raide: tekninen vastaus | Oikea raide: viestintävastaus |
| Rajaa poikkeama | Päivitä sisäinen tiimi |
| Suojaa vaarantuneet tilit | Ilmoita asiakkaille tai kumppaneille, joita asia koskee |
| Säilytä todisteet | Arvioi viranomaisilmoituksen tarve |
| Palauta järjestelmät | Pidä viestit yhdenmukaisina, kun tiedot muuttuvat |
Tämä auttaa jäsentämään vastausta ja varmistamaan, että yhteistyö jatkuu, kun tiimin jäsenet ottavat eri tehtäviä.
Aloita yleisöstä, älä tiedotteesta
Tietoturvapoikkeamaviestintä epäonnistuu, kun yksi viesti yrittää palvella kaikkia. Työntekijät, asiakkaat, kumppanit ja viranomaiset tarvitsevat eritasoisia tietoja, koska heidän on tehtävä erilaisia päätöksiä.
Sisäinen tiimisi tarvitsee selkeyttä ensimmäisenä
He eivät tarvitse jokaista yksityiskohtaa, erityisesti kun tutkinta on kesken, mutta he tarvitsevat selkeyttä siitä, mikä on vahvistettu, mitä pitää tehdä juuri nyt ja kuka johtaa vastausta. Se tarkoittaa, että tiedetään, mitä järjestelmiä tai tilejä pitää välttää, mitä toimia on tehtävä välittömästi ja mitkä kysymykset ovat yhä avoimia.
Työntekijöiden on myös tiedettävä, mitä ei saa tehdä. Esimerkiksi:
- Älä keskustele poikkeamasta julkisesti
- Älä palauta kirjautumistietoja hyväksytyn prosessin ulkopuolella
- Älä ota yhteyttä asiakkaisiin improvisoiduilla selityksillä
- Älä välitä epäilyttäviä viestejä ilman ohjeita.
Asiakkaiden ja kumppaneiden on tiedettävä, miten poikkeama vaikuttaa heihin
He haluavat tietää, vaikuttaako poikkeama heidän tietoihinsa, käyttöoikeuksiinsa, maksuihinsa, palveluunsa tai toimintoihinsa. Hyvän asiakasilmoituksen tulisi selittää:
- Mitä tiedetään
- Millaista dataa voi olla mukana
- Mitä yritys tekee
- Mitä asiakkaiden tulisi tehdä nyt, jos ylipäätään mitään
- Mistä he voivat saada päivityksiä.
Sävyn tulee olla selkeä ja suora. Asiakas ei myöskään tarvitse rikosteknisiä yksityiskohtia, vaan ainoastaan riittävästi tietoa suojellakseen itsensä.
Viranomaiset tarvitsevat tosiasioihin perustuvan selvityksen
GDPR:n mukainen tietomurtoilmoitus asiaankuuluvalle valvontaviranomaiselle (ICO(uusi ikkuna) Yhdistyneessä kuningaskunnassa, kansallinen tietosuojaviranomainen kussakin EU:n jäsenvaltiossa) ei ole markkinointiviesti tai asiakkaille suunnattu rauhoittava tiedote. Sen sijaan sen on oltava tosiasioihin perustuva selvitys siitä, mitä tapahtui, keihin se vaikuttaa ja mitä asialle tehdään. Kerromme jäljempänä tarkalleen, mitä viranomaisille ilmoittamiseen kuuluu.
Mitä sisäisesti viestitään
Työntekijäsi ovat osa reagointia, vaikka eivät kuuluisi kriisiryhmään. Hämmentynyt tiimi voi vahingossa lisätä kohinaa, jakaa virheellistä tietoa tai hidastaa tilanteen rajaamista. Toisaalta hyvin tiedotettu tiimi voi auttaa suojaamaan tilejä, ohjaamaan asiakkaat oikeaan kanavaan ja estämään spekulaatioiden kasvua.
Sisäisen tietoturvapoikkeaman tiedotteen tulisi kattaa:
- Selkeä yhteenveto siitä, mitä on toistaiseksi vahvistettu, selkokielellä
- Mitkä järjestelmät, tilit, tiimit tai tiedot ovat mahdollisesti vaarantuneet
- Mitä yritys tekee nyt
- Mitä työntekijöiden tulee tehdä välittömästi
- Kuka saa viestiä ulkopuolisille
- Minne päivitykset julkaistaan
- Miten ilmoittaa siihen liittyvästä epäilyttävästä toiminnasta
On asioita, joita ei pitäisi sisällyttää: hyökkäysvektoreita, juurisyyanalyysiä ja tiettyjä haavoittuvuuksia ei yleensä jaeta sisäisesti, kun häiriö on meneillään, eikä usein sen jälkeenkään, koska nämä tiedot voivat auttaa muita hyökkääjiä, aiheuttaa oikeudellisia riskejä tai paljastaa aukkoja, joita ei ole vielä suljettu.
Ensimmäisen sisäisen viestin ei tarvitse vastata kaikkiin kysymyksiin, vaan luoda järjestystä. Esimerkiksi työntekijöiden on ehkä palautettava salasanat vain hyväksytyn prosessin kautta, vältettävä tietyn järjestelmän käyttöä, säilytettävä epäilyttävät sähköpostit tai lopetettava jaettujen kirjautumistietojen käyttö, kunnes kriisiryhmä saa tarkistuksen valmiiksi.
Nykyisten käyttöoikeuksien arvioiminen suhteessa salasananhallinnan parhaisiin käytäntöihin on myös olennaista. Häiriön aikana vanhentuneet tai epäviralliset kirjautumistietojen jakamiskäytännöt voivat vaikeuttaa sen ymmärtämistä, mitä on paljastunut.
Protonin oppaat tietomurtojen suojaukseen ja tietomurtojen ehkäisyyn yrityksille selittävät, miten kerrokselliset hallintakeinot vähentävät altistumista ennen murron tapahtumista. Turvallinen kirjautumistietojen hallinta on yksi näistä kerroksista, koska se auttaa yritystä tietämään, mitkä tilit ovat olemassa, kuka niihin pääsee käsiksi ja mitä on vaihdettava nopeasti.
Miten asiakkaille ilmoitetaan tietomurrosta
Tietomurtoilmoitus asiakkaille on vaikeampi, koska siihen liittyy maine- ja oikeudellinen painoarvo. Ihmiset voivat olla huolissaan identiteettivarkaudesta, tilin haltuunotosta, talouspetoksesta tai yksityisten tietojen paljastumisesta. He voivat myös olla turhautuneita siitä, ettei yritys estänyt tapahtumaa.
Hyvän asiakasviestin tulee olla rehellinen mutta ei hälyttävä. Sen tulee välttää teknistä jargonia mutta olla selkeä. Asiakkaiden on ymmärrettävä, mitä tietoja oli mukana, millaisen riskin se aiheuttaa ja mitä heidän tulisi tehdä seuraavaksi.
Hyödyllinen rakenne on:
- Mitä tapahtui, asiakkaille sopivalla tarkkuudella
- Milloin yritys sai tiedon
- Mitkä tiedot tai palvelut voivat olla vaarantuneet
- Mihin toimenpiteisiin yritys on ryhtynyt
- Mitä asiakkaiden tulisi tehdä nyt
- Miten yritys antaa päivityksiä
- Keneen asiakkaat voivat ottaa yhteyttä kysymyksissä
Jos tutkinta on vielä kesken, se tulee kertoa. Tarkkuus ja läpinäkyvyys auttavat palauttamaan luottamuksen. Vaikutuksista avoimesti kertominen ei edellytä sellaisten teknisten yksityiskohtien paljastamista, jotka auttaisivat jotakuta toistamaan hyökkäyksen.
Vakavissa häiriöissä asiakkaat voivat tarvita käytännön ohjeita: vaihda salasana, ota MFA käyttöön, varo tietojenkalastelusähköposteja, ota yhteyttä pankkiisi ja jätä huomiotta viestit, jotka väittävät tulevansa yritykseltä, elleivät ne tule virallisen kanavan kautta. Ilmoituksen tulee tehdä nämä vaiheet helposti ymmärrettäviksi.
Milloin ja miten viranomaisille ilmoitetaan
Kaikista tietoturvahäiriöistä ei tarvitse ilmoittaa valvontaviranomaisille. Ilmoitusvelvollisuus UK:n ja EU:n GDPR:n mukaan riippuu siitä, aiheuttaako henkilötietojen tietoturvaloukkaus todennäköisesti riskin ihmisten oikeuksille ja vapauksille.
ICOn ohjeet henkilötietojen tietoturvaloukkauksista(uusi ikkuna) heijastavat vaatimusta, joka on yhteinen sekä UK:n että EU:n GDPR:lle: organisaatioiden on ilmoitettava ilmoitusvelvollisuuden täyttävä loukkaus ilman aiheetonta viivytystä ja viimeistään 72 tunnin kuluessa sen havaitsemisesta. Myöhästynyt ilmoitus edellyttää syitä viivästykselle.
Tämä 72 tunnin aikaikkuna voi luoda paineita, varsinkin kun tutkinta on vielä kesken. GDPR tunnustaa, että organisaatioilla ei ehkä ole kaikkia yksityiskohtia ensimmäisten 72 tunnin aikana, joten tietoja voidaan antaa vaiheittain, kunhan lisäpäivitykset toimitetaan ilman aiheetonta viivytystä.
Ilmoituksen asiaankuuluvalle valvontaviranomaiselle (Yhdistyneen kuningaskunnan ICO tai EU:n kansallinen tietosuojaviranomainen) tulisi yleensä sisältää:
- Henkilötietojen tietoturvaloukkauksen luonne
- Vaikutuksen kohteena olevien henkilöiden ryhmät ja likimääräinen lukumäärä
- Vaikutuksen kohteena olevien henkilötietotietueiden ryhmät ja likimääräinen lukumäärä
- DPO:n tai muun yhteyspisteen nimi ja yhteystiedot
- Tietoturvaloukkauksen todennäköiset seuraukset
- Toimenpiteet, jotka on toteutettu tai joita ehdotetaan sen käsittelemiseksi
ICO tarjoaa myös keskitetyn sivun, jolla voi ilmoittaa tietoturvaloukkauksesta(uusi ikkuna) ja ohjata organisaatiot asianmukaiseen ilmoitusprosessiin.
Vaikutuksen kohteena oleville henkilöille kynnys on erilainen. Jos henkilötietojen tietoturvaloukkaus aiheuttaa todennäköisesti suuren riskin ihmisten oikeuksille ja vapauksille, heille on ilmoitettava ilman aiheetonta viivytystä. Tässä tilanteessa oikeudelliset, tietosuoja- ja johtoryhmät tulisi ottaa mukaan varhain, myös pienessä yrityksessä.
Valmistele viestit ennen kuin tarvitset niitä
Huonoin aika suunnitella viestintäprosessia on häiriön aikana. Ei ole hyödyllistä antaa lausuntoja tai ohjeita, joita täytyy päivittää ja muuttaa.
Siksi on hyödyllistä valmistella viestien rakenne ennen kuin tarvitset niitä. Ei lopullista sanamuotoa, koska jokainen häiriö on erilainen, vaan rakenne: kuka hyväksyy viestin, mitkä yksityiskohdat on sisällytettävä, minne päivitykset kirjataan ja kuka vastaa kustakin kohderyhmästä.
Yksinkertainen viestintäpaketti riittää, jotta ensimmäinen tunti on vähemmän kaoottinen. Se voi sisältää:
- sisäisen poikkeaman ilmoitusmalli
- asiakasilmoituksen malli
- kumppanin tai toimittajan päivitysmalli
- Asiakaspalvelun keskusteluaiheet
- valvontaviranomaisen ilmoituksen tarkistuslista
- hyväksyttyjen tiedottajien lista
- eskalointikontaktit lakiasioita, IT:tä, yksityisyyttä, johtoa ja viestintää varten
- paikka kaikkien päivitysten ja päätösten kirjaamiseen
Valmistautuminen antaa tiimille turvallisen lähtökohdan, kun nopeus ja tarkkuus ovat molemmat tärkeitä. Valmisteltu malli jättää enemmän tilaa poikkeaman tosiasioille: mitä tapahtui, keitä asia koskee, mitä on jo tehty ja mitä ihmisten on tehtävä seuraavaksi.
Miten Proton Pass for Business voi auttaa
Tietoturvapoikkeaman viestintä perustuu faktoihin. Mitä selkeämmin yritys hallitsee pääsyä ennen poikkeamaa, sitä helpompi on selittää, mitä tapahtui, mitä on voinut vaarantua ja mitä on muutettu.
Yrityssalasananhallinta, kuten Proton Pass for Business, auttaa tiimejä vähentämään kirjautumistietoihin liittyvää altistumista. Työntekijät voivat luoda vahvoja salasanoja, tallentaa ne salattuihin salasanaholveihin, käyttää automaattitäyttöä, jakaa kirjautumistiedot turvallisesti, hallita pääsyavaimia ja käyttää sisäänrakennettua kaksivaiheista tunnistautumista. Ylläpitäjät voivat käyttää salasanakäytäntöjä, tarkastella aktiviteettilokeja, hallita pääsyä roolipohjaisin kontrollein ja tukea provisiointia SCIM- ja SSO-integraatioiden kautta.
Poikkeaman aikana nämä ominaisuudet voivat auttaa yrityksiä toimimaan itsevarmemmin. Jos työntekijän tili vaarantuu, ylläpitäjät voivat tarkastella pääsyä, tunnistaa jaetut kirjautumistiedot, jotka voivat vaatia vaihtoa, ottaa käyttöön vahvemman tunnistautumisen ja vähentää riippuvuutta chatin tai laskentataulukoiden kautta kopioituihin salasanoihin.
Ole valmis reagoimaan ennen kuin murto tapahtuu yrityssalasananhallinnalla.
