În primele ore ale unui incident de securitate, nu puteți obține o imagine tehnică completă a ceea ce s-a întâmplat. Este posibil ca echipa dumneavoastră să încerce încă să înțeleagă ce cont a fost compromis, la ce date s-a accesat, cât de departe a ajuns atacatorul sau dacă incidentul este încă activ.
Paralel cu investigația, presiunea de a acționa începe imediat. Angajații aud fragmente și trebuie să știe ce să facă. Între timp, clienții pot observa întreruperi ale serviciului, activități suspecte sau cereri neobișnuite de resetare a parolei. Partenerii de afaceri pot întreba dacă sistemele sau datele lor sunt implicate, iar conducerea trebuie să decidă cine vorbește, ce poate fi confirmat și când tăcerea devine ea însăși un risc.
Comunicarea în cazul unui incident de securitate este dificilă pentru că o afacere trebuie să fie transparentă înainte de a avea toate răspunsurile, dar suficient de informată încât să nu facă presupuneri. Mesajele trimise prea devreme pot crea confuzie, dar dacă sunt trimise prea târziu pot afecta încrederea, încetini acțiunile de protecție și ridica întrebări legate de reglementare.
Este puțin probabil ca întreprinderile mici și mijlocii să fi creat sau exersat planul de răspuns la incidente, iar acest lucru poate genera haos suplimentar. Chiar și pentru întreprinderile mai mari care au un plan, pașii tehnici pot fi documentați: limitarea incidentului, resetarea accesului, păstrarea dovezilor, restaurarea sistemelor. Comunicarea poate fi lăsată pentru mai târziu, până când brusc incidentul se agravează sau se schimbă.
O parte din pregătirea pentru un incident înseamnă să știți cine trebuie să primească informații de la dumneavoastră, ce trebuie să știe, cine aprobă mesajul și cum să comunicați faptele clar în timp ce investigația este încă în desfășurare.
Planificarea comunicării face parte din răspunsul la incidente
Structura cu două direcții pentru răspunsul dumneavoastră
Începeți cu publicul, nu cu anunțul
Cum să notificați clienții cu privire la o încălcare
Când să notificați autoritățile de reglementare
Pregătiți mesajele înainte de a avea nevoie de ele
Cum vă poate ajuta Proton Pass for Business
Planificarea comunicării face parte din răspunsul la incidente
Răspunsul la incidente este adesea descris ca un proces tehnic, dar un incident real devine rapid o problemă interdepartamentală. Echipele IT pot limita amenințarea, dar conducerea, departamentul juridic, asistența clienți, resursele umane, comunicarea și operațiunile trebuie toate să știe ce se întâmplă și ce au voie să spună.
Ghidul NCSC privind comunicarea eficientă în cazul unui incident cibernetic(fereastră nouă) — bune practici generale care se aplică mult dincolo de Regatul Unit — evidențiază clar acest aspect: organizațiile prioritizează adesea răspunsul tehnic și lasă comunicarea în plan secund, chiar dacă aceasta influențează modul în care personalul, clienții, părțile interesate și mass-media percep organizația în timpul unei crize.
Nu fiecare incident necesită o declarație publică. Dar afacerea ar trebui să știe dinainte cine decide ce să comunice, cine aprobă mesajele externe, cine vorbește cu clienții și cine se ocupă de raportarea către autoritățile de reglementare.
Un plan solid de răspuns la încălcarea datelor trebuie să includă o componentă de comunicare. Aceasta ar trebui să cuprindă detalii practice:
- Liste de contacte
- Modele de ciorne
- Fluxuri de aprobare
- Revizuire legală
- Puncte de discuție pentru asistența clienți
- Responsabilități privind notificarea autorităților de reglementare
- Înregistrări ale celor trimise, când și cui.
Structura cu două direcții pentru răspunsul dumneavoastră
Răspunsul la incidente necesită două direcții: răspunsul tehnic și răspunsul de comunicare. Acestea se desfășoară în paralel, iar responsabilul de incident/răspuns le conectează pe ambele.
| Direcția stângă: Răspunsul tehnic | Direcția dreaptă: Răspunsul de comunicare |
| Limitați incidentul | Informați echipa internă |
| Securizați conturile afectate | Notificați clienții sau partenerii afectați |
| Păstrați dovezile | Evaluați notificarea autorităților de reglementare |
| Restaurați sistemele | Mențineți mesajele consecvente pe măsură ce faptele se schimbă |
Acest lucru vă permite să structurați răspunsul și să vă asigurați că colaborarea continuă pe măsură ce membrii echipei preiau sarcini diferite.
Începeți cu publicul, nu cu anunțul
Comunicarea în cazul unui incident de securitate eșuează atunci când un singur mesaj încearcă să se adreseze tuturor. Angajații, clienții, partenerii și autoritățile de reglementare au nevoie de niveluri diferite de detaliu, pentru că au decizii diferite de luat.
Echipa dumneavoastră internă are nevoie mai întâi de claritate
Nu au nevoie de fiecare detaliu — mai ales în timpul investigației — dar au nevoie de claritate cu privire la ce este confirmat, ce trebuie făcut chiar acum și cine coordonează răspunsul. Aceasta înseamnă să știe ce sisteme sau conturi să evite, ce acțiuni să întreprindă imediat și ce întrebări sunt încă deschise.
Angajații trebuie să știe și ce să nu facă. De exemplu:
- Nu discutați incidentul în public
- Nu resetați acreditările în afara procesului aprobat
- Nu contactați clienții cu explicații improvizate
- Nu redirecționați mesaje suspecte fără îndrumare.
Clienții și partenerii trebuie să știe cum sunt afectați
Vor să știe dacă datele, accesul, plățile, serviciul sau operațiunile lor sunt afectate. O notificare bună către clienți ar trebui să explice:
- Ce se știe
- Ce tip de date pot fi implicate
- Ce face compania
- Ce ar trebui să facă acum clienții, dacă este cazul
- De unde pot obține actualizări.
Tonul trebuie să fie simplu și direct. Un client nu are nevoie nici de detalii criminalistice, ci doar de suficiente informații pentru a se proteja.
Autoritățile de reglementare au nevoie de o evidență factuală
O notificare de încălcare a GDPR către autoritatea de supraveghere relevantă (ICO(fereastră nouă) în Regatul Unit, autoritatea națională de protecție a datelor din fiecare stat membru al UE) nu este un mesaj de marketing sau o notă de liniștire pentru clienți. În schimb, trebuie să fie o evidență factuală a ceea ce s-a întâmplat, cine este afectat și ce faceți în privința asta. Vom acoperi exact ce trebuie inclus în secțiunea despre notificarea autorităților de reglementare de mai jos.
Ce trebuie comunicat intern
Angajații fac parte din răspuns, chiar și atunci când nu fac parte din echipa de incident. O echipă confuză poate crea accidental mai mult zgomot, poate partaja informații inexacte sau poate încetini limitarea incidentului. Pe de altă parte, o echipă bine informată poate ajuta la protejarea conturilor, la direcționarea clienților către canalul potrivit și la evitarea speculațiilor.
Un anunț intern privind incidentul de securitate ar trebui să acopere:
- Un rezumat clar a ceea ce a fost confirmat până acum, într-un limbaj simplu
- Ce sisteme, conturi, echipe sau date sunt potențial afectate
- Ce face compania acum
- Ce ar trebui să facă angajații imediat
- Cine are voie să comunice extern
- Unde vor fi postate actualizările
- Cum se raportează activitățile suspecte asociate
Există aspecte care nu ar trebui incluse: vectorii de atac, analiza cauzei principale și vulnerabilitățile specifice nu sunt în general partajate intern cât timp incidentul este activ și adesea nici ulterior, deoarece aceste detalii pot ajuta alți atacatori, pot crea expunere juridică sau pot dezvălui lacune care nu au fost încă închise.
Primul mesaj intern nu trebuie să răspundă la toate întrebările, trebuie să creeze ordine. De exemplu, angajații pot avea nevoie să reseteze parolele doar printr-un proces aprobat, să evite utilizarea unui anumit sistem, să păstreze e-mailurile suspecte sau să înceteze utilizarea acreditărilor partajate până când echipa de răspuns finalizează verificarea.
Evaluarea controalelor de acces existente în raport cu cele mai bune practici pentru gestionarea parolelor este, de asemenea, esențială. În timpul unui incident, partajarea învechită sau informală a acreditărilor poate face mai dificilă înțelegerea a ceea ce a fost expus.
Ghidurile Proton despre protecția împotriva încălcărilor de date și prevenirea încălcărilor de date pentru companii explică modul în care controalele stratificate reduc expunerea înainte de producerea unei încălcări. Gestionarea securizată a acreditărilor este unul dintre aceste straturi, deoarece ajută compania să știe ce conturi există, cine le poate accesa și ce trebuie schimbat rapid.
Cum să notificați clienții cu privire la o încălcare
O notificare de încălcare a datelor către clienți este mai dificilă, deoarece are greutate reputațională și juridică. Oamenii pot fi îngrijorați de furtul de identitate, preluarea contului, frauda financiară sau expunerea informațiilor private. De asemenea, pot fi frustrați că compania nu a prevenit incidentul.
Un mesaj bun pentru clienți ar trebui să fie onest fără a fi alarmant. Ar trebui să evite jargonul tehnic, dar să fie clar. Clienții trebuie să înțeleagă ce date au fost implicate, ce risc creează acest lucru și ce ar trebui să facă în continuare.
O structură utilă este:
- Ce s-a întâmplat, la un nivel de detaliu adecvat pentru clienți
- Când a aflat compania
- Ce informații sau servicii pot fi afectate
- Ce măsuri a luat compania
- Ce ar trebui să facă clienții acum
- Cum va furniza compania actualizări
- Pe cine pot contacta clienții cu întrebări
Acolo unde investigația este încă în desfășurare, acest lucru ar trebui dezvăluit. Acuratețea și transparența ajută la restaurarea încrederii. A fi deschis cu privire la impact nu necesită dezvăluirea detaliilor tehnice care ar ajuta pe cineva să repete atacul.
Pentru incidentele grave, clienții pot avea nevoie de instrucțiuni practice: schimbați o parolă, activați MFA, fiți atenți la e-mailurile de phishing, contactați banca, ignorați mesajele care pretind a fi de la companie decât dacă provin printr-un canal oficial. Notificarea ar trebui să facă acești pași ușor de înțeles.
Când și cum să notificați autoritățile de reglementare
Nu fiecare incident de securitate trebuie raportat autorităților de supraveghere. O încălcare care trebuie raportată conform GDPR din Regatul Unit și UE depinde de dacă o încălcare a datelor personale este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor.
Ghidul ICO privind încălcarea datelor personale(fereastră nouă) reflectă o cerință comună atât GDPR din Regatul Unit, cât și UE: organizațiile trebuie să raporteze o încălcare notificabilă fără întârziere nejustificată și nu mai târziu de 72 de ore de la momentul în care au aflat despre ea. O raportare tardivă necesită motive pentru întârziere.
Acea fereastră de 72 de ore poate crea presiune, mai ales când investigația este încă incompletă. GDPR recunoaște că organizațiile pot să nu aibă fiecare detaliu în primele 72 de ore, astfel încât informațiile pot fi furnizate în etape, atâta timp cât actualizările suplimentare sunt oferite fără întârziere nejustificată.
O notificare către autoritatea de supraveghere relevantă (ICO în Regatul Unit sau autoritatea națională de protecție a datelor din UE) ar trebui să includă de obicei:
- Natura încălcării datelor personale
- Categoriile și numărul aproximativ de persoane afectate
- Categoriile și numărul aproximativ de înregistrări de date personale afectate
- Numele și detaliile de contact ale DPO sau ale unui alt punct de contact
- Consecințele probabile ale încălcării
- Măsurile luate sau propuse pentru a o soluționa
ICO oferă, de asemenea, o pagină centrală pentru a raporta o încălcare(fereastră nouă) și pentru a direcționa organizațiile către procesul de raportare adecvat.
Pentru persoanele afectate, pragul este diferit. Acolo unde o încălcare a datelor personale este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor, acestea trebuie informate fără întârziere nejustificată. Aceasta este o situație în care echipele juridice, de confidențialitate și de conducere ar trebui implicate devreme, chiar și într-o mică afacere.
Pregătiți mesajele înainte de a avea nevoie de ele
Cel mai prost moment pentru a proiecta un proces de comunicare este în timpul unui incident. Nu este util să emiteți declarații sau îndrumări care trebuie actualizate și modificate.
De aceea este util să pregătiți structura mesajelor înainte de a avea nevoie de ele. Nu formularea finală, deoarece fiecare incident va fi diferit, ci structura: cine trebuie să aprobe mesajul, ce detalii trebuie incluse, unde vor fi înregistrate actualizările și cine este responsabil pentru fiecare public țintă.
Un kit de comunicare simplu este suficient pentru ca prima oră să fie mai puțin haotică. Acesta poate include:
- Un model de anunț intern privind incidentul
- Un model de notificare pentru clienți
- Un model de actualizare pentru parteneri sau furnizori
- Puncte de discuție pentru asistența clienți
- O listă de verificare pentru notificarea autorității de supraveghere
- Lista persoanelor aprobate ca purtători de cuvânt
- Persoane de contact pentru escaladare în domeniile juridic, IT, confidențialitate, conducere și comunicare
- Un loc în care să se înregistreze toate actualizările și deciziile
Pregătirea oferă echipei un punct de plecare sigur atunci când atât viteza, cât și acuratețea sunt importante. Un model pregătit din timp lasă mai multă atenție pentru faptele incidentului: ce s-a întâmplat, cine este afectat, ce s-a făcut deja și ce trebuie să facă oamenii în continuare.
Cum poate ajuta Proton Pass for Business
Comunicarea unui incident de securitate depinde de fapte. Cu cât o companie gestionează mai clar accesul înainte de un incident, cu atât este mai ușor să explice ce s-a întâmplat, ce ar putea fi afectat și ce a fost schimbat.
Un manager de parole pentru companii precum Proton Pass for Business ajută echipele să reducă expunerea legată de acreditări. Angajații pot genera parole puternice, le pot stoca în seifuri de parole criptate, pot folosi completarea automată, pot partaja acreditările în siguranță, pot gestiona cheile de acces și pot folosi autentificarea cu doi factori integrată. Administratorii pot aplica politici de parole, pot consulta jurnalele de activitate, pot gestiona accesul cu ajutorul controalelor bazate pe roluri și pot susține crearea conturilor prin integrări SCIM și SSO.
În timpul unui incident, aceste caracteristici pot ajuta companiile să acționeze cu mai multă încredere. Dacă un cont de angajat este compromis, administratorii pot verifica accesarea, pot identifica acreditările partajate care ar putea necesita schimbarea, pot impune o autentificare mai puternică și pot reduce dependența de parolele copiate prin chat sau foi de calcul.
Fiți pregătiți să reacționați înainte de a se produce o încălcare, cu ajutorul unui manager de parole pentru companii.
