W pierwszych godzinach incydentu bezpieczeństwa nie można uzyskać pełnego technicznego obrazu tego, co się stało. Zespół może wciąż próbować ustalić, które konto zostało zagrożone, do jakich danych uzyskano dostęp, jak daleko dotarł atakujący lub czy incydent jest nadal aktywny.
Równolegle z prowadzonym dochodzeniem presja, aby działać, pojawia się natychmiast. Pracownicy słyszą fragmenty i muszą wiedzieć, co robić. W międzyczasie klienci mogą zauważyć przerwy w usługach, podejrzaną aktywność lub nietypowe żądania resetowania hasła. Partnerzy biznesowi mogą pytać, czy ich systemy lub dane są zaangażowane, a kierownictwo musi zdecydować, kto mówi, co można potwierdzić i kiedy milczenie staje się samo w sobie ryzykiem.
Komunikacja w przypadku incydentu bezpieczeństwa jest trudna, ponieważ firma musi być przejrzysta, zanim pozna wszystkie odpowiedzi, ale wystarczająco poinformowana, by nie zgadywać. Komunikaty wysłane zbyt wcześnie mogą wywołać zamieszanie, ale jeśli zostaną wysłane zbyt późno, mogą zaszkodzić zaufaniu, opóźnić działania ochronne i wywołać pytania regulacyjne.
Jest mało prawdopodobne, że małe i średnie firmy stworzyły lub przećwiczyły swój plan reagowania na incydenty, co może powodować dodatkowy chaos. Nawet w większych firmach, które mają plan, kroki techniczne mogą być udokumentowane: opanowanie incydentu, resetowanie dostępu, zabezpieczenie dowodów, przywrócenie systemów. Komunikacja może zostać odłożona na później, aż nagle incydent się nasili lub zmieni.
Częścią przygotowań do incydentu jest wiedza, kto musi usłyszeć od ciebie, co musi wiedzieć, kto zatwierdza wiadomość i jak jasno komunikować fakty, gdy dochodzenie wciąż trwa.
Planowanie komunikacji jest częścią reagowania na incydenty
Dwutorowa struktura reagowania
Zacznij od odbiorców, a nie od ogłoszenia
Jak powiadamiać klientów o naruszeniu
Kiedy powiadamiać organy regulacyjne
Przygotuj wiadomości, zanim będą potrzebne
Jak Proton Pass for Business może pomóc
Planowanie komunikacji jest częścią reagowania na incydenty
Reagowanie na incydenty jest często opisywane jako proces techniczny, ale prawdziwy incydent szybko staje się zadaniem międzyfunkcyjnym. Zespoły IT mogą opanować zagrożenie, ale kierownictwo, dział prawny, wsparcie klienta, HR, komunikacja i operacje – wszyscy muszą wiedzieć, co się dzieje i co wolno im mówić.
Wytyczne NCSC dotyczące skutecznej komunikacji w incydencie cybernetycznym(nowe okno) — ogólne najlepsze praktyki, które mają zastosowanie znacznie poza Wielką Brytanią — jasno to podkreślają: organizacje często priorytetowo traktują reakcję techniczną i spychają komunikację na dalszy plan, mimo że komunikacja kształtuje sposób, w jaki pracownicy, klienci, interesariusze i media postrzegają organizację podczas kryzysu.
Nie każdy incydent wymaga publicznego oświadczenia. Ale firma powinna z góry wiedzieć, kto decyduje, co komunikować, kto zatwierdza wiadomości zewnętrzne, kto rozmawia z klientami i kto zajmuje się raportowaniem regulacyjnym.
Solidny plan reagowania na naruszenia danych musi obejmować warstwę komunikacyjną. Powinien zawierać praktyczne szczegóły:
- Listy kontaktów
- Szablony szkiców
- Ścieżki zatwierdzania
- Przeglądy prawne
- Punkty do rozmowy dla wsparcia klienta
- Obowiązki w zakresie powiadamiania organów regulacyjnych
- Zapisy tego, co zostało wysłane, kiedy i do kogo.
Dwutorowa struktura reagowania
Reagowanie na incydenty wymaga dwóch torów: reakcji technicznej i reakcji komunikacyjnej. Biegną one równolegle, a lider incydentu/właściciel reakcji łączy je oba.
| Lewy tor: Reakcja techniczna | Prawy tor: Reakcja komunikacyjna |
| Opanuj incydent. | Zaktualizuj zespół wewnętrzny. |
| Zabezpiecz dotknięte konta. | Powiadom dotkniętych klientów lub partnerów. |
| Zabezpiecz dowody. | Oceń powiadomienie organów regulacyjnych. |
| Przywróć systemy. | Utrzymuj spójność wiadomości w miarę zmiany faktów. |
Pozwala to uporządkować reakcję i zapewnić ciągłość współpracy, gdy członkowie zespołu podejmują różne zadania.
Zacznij od odbiorców, a nie od ogłoszenia
Komunikacja w przypadku incydentu bezpieczeństwa zawodzi, gdy jedna wiadomość próbuje służyć wszystkim. Pracownicy, klienci, partnerzy i organy regulacyjne potrzebują różnych poziomów szczegółowości, ponieważ podejmują różne decyzje.
Zespół wewnętrzny potrzebuje najpierw jasności
Nie potrzebują każdego szczegółu — zwłaszcza gdy dochodzenie trwa — ale potrzebują jasności co do tego, co zostało potwierdzone, co robić teraz i kto kieruje reakcją. Oznacza to wiedzę, których systemów lub kont unikać, jakie działania podjąć natychmiast i które pytania pozostają otwarte.
Pracownicy muszą również wiedzieć, czego nie robić. Na przykład:
- Nie omawiaj incydentu publicznie.
- Nie resetuj danych logowania poza zatwierdzonym procesem.
- Nie kontaktuj się z klientami z improwizowanymi wyjaśnieniami.
- Nie przekazuj podejrzanych wiadomości bez wskazówek.
Klienci i partnerzy muszą wiedzieć, jak są dotknięci
Chcą wiedzieć, czy ich dane, dostęp, płatności, usługi lub operacje są dotknięte. Dobrze przygotowane powiadomienie dla klienta powinno wyjaśniać:
- Co jest znane
- Jakiego rodzaju dane mogą być objęte
- Co robi firma
- Co klienci powinni teraz zrobić, jeśli w ogóle
- Gdzie mogą uzyskać aktualizacje
Ton powinien być prosty i bezpośredni. Klient nie potrzebuje również szczegółów technicznych, potrzebuje tylko wystarczającej ilości informacji, aby się chronić.
Organy regulacyjne potrzebują rzetelnego zapisu
Powiadomienie o naruszeniu GDPR do właściwego organu nadzorczego (ICO(nowe okno) w Wielkiej Brytanii, krajowy organ ochrony danych w każdym państwie członkowskim UE) nie jest wiadomością marketingową ani notatką uspokajającą dla klienta. Zamiast tego powinno być rzetelnym zapisem tego, co się stało, kto został dotknięty i co się robi w tej sprawie. Co należy uwzględnić, dokładnie omówiono w poniższej sekcji dotyczącej powiadamiania organów regulacyjnych.
Co komunikować wewnętrznie
Pracownicy są częścią reakcji, nawet jeśli nie należą do zespołu reagowania. Zdezorientowany zespół może przypadkowo tworzyć więcej szumu, udostępniać niedokładne informacje lub spowalniać powstrzymywanie incydentu. Z drugiej strony dobrze poinformowany zespół może pomóc chronić konta, kierować klientów do właściwego kanału i unikać narastania spekulacji.
Wewnętrzne ogłoszenie o incydencie bezpieczeństwa powinno obejmować:
- Jasne podsumowanie tego, co zostało dotychczas potwierdzone, prostym językiem
- Które systemy, konta, zespoły lub dane mogą być potencjalnie dotknięte
- Co firma robi teraz
- Co pracownicy powinni zrobić natychmiast
- Kto może komunikować się na zewnątrz
- Gdzie będą publikowane aktualizacje
- Jak zgłaszać powiązane podejrzane działania
Istnieją aspekty, które nie powinny być uwzględniane: wektory ataków, analiza przyczyn źródłowych i konkretne luki w zabezpieczeniach generalnie nie są udostępniane wewnętrznie, gdy incydent jest w toku, a często także później, ponieważ te szczegóły mogą pomóc innym atakującym, stworzyć ryzyko prawne lub ujawnić luki, które nie zostały jeszcze zamknięte.
Pierwsza wiadomość wewnętrzna nie musi odpowiadać na każde pytanie, musi wprowadzić porządek. Na przykład pracownicy mogą potrzebować resetować hasła tylko poprzez zatwierdzony proces, unikać korzystania z określonego systemu, zachować podejrzane wiadomości e-mail lub przestać używać współdzielonych danych logowania, dopóki zespół reagowania nie zakończy przeglądu.
Ocena istniejących kontroli dostępu w kontekście najlepszych praktyk zarządzania hasłami jest również niezbędna. Podczas incydentu przestarzałe lub nieformalne udostępnianie danych logowania może utrudnić zrozumienie, co zostało ujawnione.
Przewodniki Proton dotyczące ochrony przed naruszeniami danych i zapobiegania naruszeniom danych w firmach wyjaśniają, jak warstwowe kontrole zmniejszają narażenie, zanim dojdzie do naruszenia. Bezpieczne zarządzanie danymi logowania jest jedną z tych warstw, ponieważ pomaga firmie wiedzieć, jakie konta istnieją, kto ma do nich dostęp i co trzeba szybko zmienić.
Jak powiadamiać klientów o naruszeniu
Powiadomienie o naruszeniu danych do klientów jest trudniejsze, ponieważ wiąże się z obciążeniem reputacyjnym i prawnym. Ludzie mogą obawiać się kradzieży tożsamości, przejęcia konta, oszustw finansowych lub ujawnienia prywatnych informacji. Mogą być również sfrustrowani, że firma nie zapobiegła incydentowi.
Dobra wiadomość do klienta powinna być szczera, ale nie alarmująca. Powinna unikać żargonu technicznego, ale być jasna. Klienci muszą zrozumieć, jakie dane były objęte, jakie ryzyko to stwarza i co powinni zrobić dalej.
Przydatna struktura to:
- Co się stało, na poziomie szczegółowości odpowiednim dla klientów
- Kiedy firma dowiedziała się
- Jakie informacje lub usługi mogą być dotknięte
- Jakie kroki podjęła firma
- Co klienci powinni teraz zrobić
- Jak firma będzie przekazywać aktualizacje
- Z kim klienci mogą się kontaktować w razie pytań
Jeśli śledztwo jest nadal w toku, należy to ujawnić. Dokładność i przejrzystość pomagają przywrócić zaufanie. Bycie otwartym co do wpływu nie wymaga ujawniania szczegółów technicznych, które mogłyby pomóc komuś powtórzyć atak.
W przypadku poważnych incydentów klienci mogą potrzebować praktycznych instrukcji: zmienić hasło, włączyć MFA, uważać na wiadomości phishingowe, skontaktować się ze swoim bankiem i ignorować wiadomości podające się za firmę, chyba że pochodzą z oficjalnego kanału. Powiadomienie powinno sprawić, że te kroki będą łatwe do zrozumienia.
Kiedy i jak powiadamiać organy regulacyjne
Nie każdy incydent bezpieczeństwa musi być zgłaszany organom nadzorczym. Zgłaszalne naruszenie na mocy GDPR w Wielkiej Brytanii i UE zależy od tego, czy naruszenie danych osobowych może skutkować ryzykiem dla praw i wolności ludzi.
Wytyczne ICO dotyczące naruszeń danych osobowych(nowe okno) odzwierciedlają wymóg wspólny dla GDPR w Wielkiej Brytanii i UE: organizacje muszą zgłosić naruszenie podlegające zgłoszeniu bez zbędnej zwłoki i nie później niż 72 godziny po powzięciu o nim wiedzy. Opóźnione zgłoszenie wymaga podania przyczyn opóźnienia.
To 72-godzinne okno może wywierać presję, zwłaszcza gdy śledztwo jest jeszcze niekompletne. GDPR uznaje, że organizacje mogą nie mieć wszystkich szczegółów w ciągu pierwszych 72 godzin, więc informacje można przekazywać etapami, o ile dalsze aktualizacje są przekazywane bez zbędnej zwłoki.
Powiadomienie do właściwego organu nadzorczego (ICO w Wielkiej Brytanii lub krajowego organu ochrony danych w UE) powinno zazwyczaj zawierać:
- Charakter naruszenia danych osobowych
- Kategorie i przybliżoną liczbę dotkniętych osób
- Kategorie i przybliżoną liczbę dotkniętych rekordów danych osobowych
- Imię i nazwisko oraz szczegóły kontaktu inspektora ochrony danych (DPO) lub innego punktu kontaktowego
- Prawdopodobne konsekwencje naruszenia
- Środki podjęte lub proponowane w celu zaradzenia mu
ICO udostępnia również centralną stronę do zgłaszania naruszeń(nowe okno) i kierowania organizacji do odpowiedniego procesu zgłaszania.
W przypadku poszkodowanych osób próg jest inny. Jeśli naruszenie danych osobowych może skutkować wysokim ryzykiem dla praw i wolności ludzi, należy ich poinformować bez zbędnej zwłoki. To sytuacja, w której zespoły prawne, ds. prywatności i kierownictwo powinny zostać zaangażowane wcześnie, nawet w małej firmie.
Przygotuj wiadomości, zanim będą potrzebne
Najgorszy czas na projektowanie procesu komunikacji to czas incydentu. Nie jest pomocne wydawanie oświadczeń lub wytycznych, które wymagają aktualizacji i zmian.
Dlatego warto przygotować strukturę swoich wiadomości, zanim będą potrzebne. Nie ostateczne brzmienie, ponieważ każdy incydent będzie inny, ale strukturę: kto musi zatwierdzić wiadomość, jakie szczegóły muszą być uwzględnione, gdzie będą zapisywane aktualizacje i kto jest odpowiedzialny za każdą grupę odbiorców.
Prosty zestaw komunikacyjny wystarczy, aby pierwsza godzina była mniej chaotyczna. Może zawierać:
- Szablon wewnętrznego ogłoszenia o incydencie
- Szablon powiadomienia dla klienta
- Szablon aktualizacji dla partnera lub dostawcy
- Punkty do rozmowy dla wsparcia klienta
- Lista kontrolna powiadomienia organu nadzoru
- Lista zatwierdzonych rzeczników
- Kontakty do eskalacji dla działu prawnego, IT, prywatności, kierownictwa i komunikacji
- Miejsce do rejestrowania wszystkich aktualizacji i decyzji
Przygotowanie daje zespołowi bezpieczny punkt wyjścia, gdy szybkość i dokładność są równie ważne. Gotowy szablon pozwala skupić więcej uwagi na faktach dotyczących incydentu: co się stało, kto został poszkodowany, co już zrobiono i co należy zrobić dalej.
Jak Proton Pass for Business może pomóc
Komunikacja incydentu bezpieczeństwa zależy od faktów. Im jaśniej firma zarządza dostępem przed incydentem, tym łatwiej wyjaśnić, co się stało, co może być dotknięte i co zostało zmienione.
A biznesowy menadżer haseł taki jak Proton Pass for Business pomaga zespołom zmniejszyć narażenie związane z danymi logowania. Pracownicy mogą generować silne hasła, przechowywać je w zaszyfrowanych sejfach na hasła, korzystać z autouzupełniania, bezpiecznie udostępniać dane logowania, zarządzać kluczami dostępu i korzystać z wbudowanego uwierzytelniania dwustopniowego. Administratorzy mogą stosować zasady haseł, przeglądać logi aktywności, zarządzać dostępem za pomocą kontroli opartych na rolach i wspierać aprowizację przez integracje SCIM i SSO.
Podczas incydentu te funkcje mogą pomóc firmom działać z większą pewnością siebie. Jeśli konto pracownika zostanie zagrożone, administratorzy mogą sprawdzić dostęp, zidentyfikować udostępnione dane logowania, które mogą wymagać rotacji, wymusić silniejsze uwierzytelnianie i zmniejszyć poleganie na hasłach kopiowanych przez czat lub arkusze kalkulacyjne.
Przygotuj się do reakcji, zanim dojdzie do naruszenia, dzięki biznesowemu menadżerowi haseł.
