Trong những giờ đầu tiên của sự cố bảo mật, bạn không thể có bức tranh kỹ thuật đầy đủ về những gì đã xảy ra. Nhóm của bạn có thể vẫn đang cố gắng hiểu tài khoản nào bị xâm phạm, dữ liệu nào bị truy cập, kẻ tấn công đã đi được đến đâu hoặc liệu sự cố có còn đang diễn ra hay không.
Song song với quá trình điều tra, áp lực phải hành động cũng xuất hiện ngay lập tức. Nhân viên nghe được những thông tin rời rạc và cần biết phải làm gì. Trong khi đó, khách hàng có thể nhận thấy dịch vụ bị gián đoạn, hoạt động đáng ngờ hoặc các yêu cầu đặt lại mật khẩu bất thường. Đối tác kinh doanh có thể hỏi liệu hệ thống hay dữ liệu của họ có bị ảnh hưởng không, và ban lãnh đạo cần quyết định ai sẽ phát ngôn, điều gì có thể được xác nhận và khi nào sự im lặng lại trở thành một rủi ro.
Truyền thông về sự cố bảo mật rất khó vì doanh nghiệp phải minh bạch trước khi có đủ mọi câu trả lời, nhưng cũng phải có đủ thông tin để không phải phỏng đoán. Thông tin gửi quá sớm có thể gây nhầm lẫn, nhưng nếu gửi quá muộn thì có thể làm tổn hại lòng tin, làm chậm các biện pháp bảo vệ và làm dấy lên những câu hỏi về quy định pháp lý.
Ít có khả năng các doanh nghiệp vừa và nhỏ đã xây dựng hoặc diễn tập kế hoạch ứng phó sự cố của mình, và điều này có thể gây thêm hỗn loạn. Ngay cả với những doanh nghiệp lớn hơn đã có kế hoạch, các bước kỹ thuật có thể đã được ghi lại: ngăn chặn sự cố, đặt lại quyền truy cập, bảo toàn bằng chứng, khôi phục hệ thống. Truyền thông có thể bị bỏ lại cho sau này, cho đến khi sự cố đột nhiên leo thang hoặc thay đổi.
Một phần của việc chuẩn bị cho sự cố là biết ai cần nghe từ bạn, họ cần biết những gì, ai phê duyệt thư, và cách truyền đạt sự thật rõ ràng trong khi quá trình điều tra vẫn đang tiếp diễn.
Lập kế hoạch truyền thông thuộc về quy trình ứng phó sự cố
Cấu trúc hai tuyến cho quy trình ứng phó của bạn
Bắt đầu từ đối tượng, không phải từ thông báo
Những gì cần truyền đạt nội bộ
Cách thông báo cho khách hàng về vi phạm
Khi nào cần thông báo cho cơ quan quản lý
Chuẩn bị thư trước khi bạn cần đến chúng
Cách Proton Pass for Business có thể hỗ trợ
Lập kế hoạch truyền thông thuộc về quy trình ứng phó sự cố
Ứng phó sự cố thường được mô tả như một quy trình kỹ thuật, nhưng một sự cố thực sự nhanh chóng trở thành vấn đề liên phòng ban. Nhóm IT có thể ngăn chặn mối đe dọa, nhưng ban lãnh đạo, pháp chế, hỗ trợ khách hàng, nhân sự, truyền thông và vận hành đều cần biết điều gì đang xảy ra và họ được phép nói những gì.
Hướng dẫn của NCSC về truyền thông hiệu quả trong sự cố mạng(cửa sổ mới) — những thực hành tốt nhất chung có thể áp dụng rộng rãi ngoài Vương quốc Anh — nêu rõ điểm này: các tổ chức thường ưu tiên ứng phó kỹ thuật và đẩy truyền thông xuống hàng thứ yếu, dù truyền thông định hình cách nhân viên, khách hàng, các bên liên quan và truyền thông đại chúng nhìn nhận tổ chức trong khủng hoảng.
Không phải sự cố nào cũng cần một tuyên bố công khai. Nhưng doanh nghiệp nên biết trước ai là người quyết định cần truyền đạt điều gì, ai phê duyệt các thư đối ngoại, ai nói chuyện với khách hàng và ai phụ trách báo cáo cho cơ quan quản lý.
Một kế hoạch ứng phó vi phạm dữ liệu hiệu quả cần bao gồm một lớp truyền thông. Điều này nên bao gồm các chi tiết thiết thực:
- Danh sách liên hệ
- Mẫu thư nháp
- Quy trình phê duyệt
- Đánh giá pháp lý
- Điểm nói chuyện với khách hàng của bộ phận hỗ trợ khách hàng
- Trách nhiệm thông báo cho cơ quan quản lý
- Ghi chép về những gì đã gửi, khi nào và cho ai.
Cấu trúc hai tuyến cho quy trình ứng phó của bạn
Ứng phó sự cố cần hai tuyến: ứng phó kỹ thuật và ứng phó truyền thông. Chúng chạy song song với nhau và người phụ trách sự cố/chủ sở hữu ứng phó kết nối cả hai.
| Tuyến bên trái: Ứng phó kỹ thuật | Tuyến bên phải: Ứng phó truyền thông |
| Ngăn chặn sự cố | Cập nhật cho nhóm nội bộ |
| Bảo mật các tài khoản bị ảnh hưởng | Thông báo cho khách hàng hoặc đối tác bị ảnh hưởng |
| Bảo toàn bằng chứng | Đánh giá việc thông báo cho cơ quan quản lý |
| Khôi phục hệ thống | Giữ thư nhất quán khi sự thật thay đổi |
Điều này cho phép bạn cấu trúc quy trình ứng phó và đảm bảo sự phối hợp tiếp tục khi các thành viên trong nhóm đảm nhận những nhiệm vụ khác nhau.
Bắt đầu từ đối tượng, không phải từ thông báo
Truyền thông về sự cố bảo mật thất bại khi một thư cố gắng phục vụ tất cả mọi người. Nhân viên, khách hàng, đối tác và cơ quan quản lý cần mức độ chi tiết khác nhau vì họ có những quyết định khác nhau phải đưa ra.
Nhóm nội bộ của bạn cần sự rõ ràng trước tiên
Họ không cần mọi chi tiết — đặc biệt là trong khi quá trình điều tra vẫn đang diễn ra — nhưng họ cần sự rõ ràng về những gì đã được xác nhận, cần làm gì ngay bây giờ và ai đang dẫn dắt quy trình ứng phó. Điều đó có nghĩa là biết nên tránh những hệ thống hoặc tài khoản nào, cần hành động gì ngay lập tức và những câu hỏi nào vẫn còn bỏ ngỏ.
Nhân viên cũng cần biết những gì không nên làm. Ví dụ:
- Không thảo luận về sự cố một cách công khai
- Không đặt lại thông tin đăng nhập ngoài quy trình đã được phê duyệt
- Không liên hệ với khách hàng bằng những lời giải thích tự phát
- Không chuyển tiếp các thư đáng ngờ mà không có hướng dẫn.
Khách hàng và đối tác cần biết họ bị ảnh hưởng như thế nào
Họ muốn biết liệu dữ liệu, quyền truy cập, thanh toán, dịch vụ hay hoạt động của họ có bị ảnh hưởng không. Một thông báo khách hàng tốt nên giải thích:
- Những gì đã được biết
- Loại dữ liệu nào có thể liên quan
- Doanh nghiệp đang làm gì
- Khách hàng nên làm gì ngay bây giờ, nếu có
- Nơi họ có thể nhận thông tin cập nhật.
Giọng điệu cần đơn giản và trực tiếp. Khách hàng cũng không cần chi tiết pháp y, họ chỉ cần đủ thông tin để tự bảo vệ mình.
Cơ quan quản lý cần hồ sơ dựa trên thực tế
Thông báo vi phạm GDPR gửi đến cơ quan giám sát có liên quan (ICO tại Vương quốc Anh, cơ quan bảo vệ dữ liệu quốc gia tại mỗi quốc gia thành viên EU) không phải là thư tiếp thị hay lời trấn an khách hàng. Thay vào đó, đó cần là hồ sơ thực tế về những gì đã xảy ra, ai bị ảnh hưởng và bạn đang làm gì để xử lý. Chúng tôi trình bày chính xác những gì cần đưa vào trong phần về thông báo cho cơ quan quản lý bên dưới.
Cần truyền đạt gì trong nội bộ
Nhân viên của bạn là một phần của quá trình ứng phó, ngay cả khi họ không thuộc đội xử lý sự cố. Một đội ngũ bối rối có thể vô tình tạo thêm ồn ào, chia sẻ thông tin không chính xác hoặc làm chậm quá trình khoanh vùng. Ngược lại, một đội ngũ được thông tin đầy đủ có thể giúp bảo vệ tài khoản, hướng khách hàng đến đúng kênh và tránh để những suy đoán lan rộng.
Thông báo nội bộ về sự cố an ninh nên bao gồm:
- Tóm tắt rõ ràng những gì đã được xác nhận cho đến nay, bằng ngôn ngữ đơn giản
- Hệ thống, tài khoản, đội nhóm hoặc dữ liệu nào có thể bị ảnh hưởng
- Doanh nghiệp đang làm gì ngay bây giờ
- Nhân viên nên làm gì ngay lập tức
- Ai được phép liên lạc ra bên ngoài
- Thông tin cập nhật sẽ được đăng ở đâu
- Cách báo cáo hoạt động đáng ngờ có liên quan
Có những khía cạnh không nên đưa vào: vector tấn công, phân tích nguyên nhân gốc rễ và các lỗ hổng cụ thể thường không được chia sẻ trong nội bộ khi sự cố vẫn đang diễn ra, và thường cũng không được chia sẻ sau đó, vì những chi tiết đó có thể giúp kẻ tấn công khác, tạo rủi ro pháp lý hoặc phơi bày những lỗ hổng chưa được khắc phục.
Thư nội bộ đầu tiên không cần trả lời mọi câu hỏi, mà cần tạo ra trật tự. Ví dụ, nhân viên có thể cần đặt lại mật khẩu chỉ thông qua một quy trình đã được phê duyệt, tránh sử dụng một hệ thống cụ thể, giữ lại các email đáng ngờ hoặc ngừng sử dụng thông tin đăng nhập dùng chung cho đến khi đội ứng phó hoàn tất việc rà soát.
Việc đánh giá các biện pháp kiểm soát truy cập hiện có của bạn dựa trên các phương pháp quản lý mật khẩu tốt nhất cũng rất cần thiết. Trong một sự cố, việc chia sẻ thông tin đăng nhập lỗi thời hoặc không chính thức có thể khiến việc hiểu rõ điều gì đã bị phơi bày trở nên khó khăn hơn.
Các hướng dẫn của Proton về bảo vệ chống vi phạm dữ liệu và phòng ngừa vi phạm dữ liệu cho doanh nghiệp giải thích cách các biện pháp kiểm soát theo lớp giúp giảm mức độ phơi bày trước khi vi phạm xảy ra. Quản lý thông tin đăng nhập an toàn là một trong những lớp đó vì nó giúp doanh nghiệp biết những tài khoản nào tồn tại, ai có thể truy cập chúng và những gì cần được thay đổi nhanh chóng.
Cách thông báo cho khách hàng về một vi phạm
Thông báo vi phạm dữ liệu đến khách hàng khó hơn vì nó mang trọng lượng về danh tiếng và pháp lý. Mọi người có thể lo lắng về việc đánh cắp danh tính, chiếm đoạt tài khoản, gian lận tài chính hoặc phơi bày thông tin riêng tư. Họ cũng có thể bực bội vì công ty đã không ngăn chặn được sự cố.
Một thư gửi khách hàng tốt cần trung thực mà không gây hoảng loạn. Nên tránh thuật ngữ kỹ thuật nhưng vẫn rõ ràng. Khách hàng cần hiểu dữ liệu nào có liên quan, điều đó tạo ra rủi ro gì và họ nên làm gì tiếp theo.
Một cấu trúc hữu ích là:
- Điều gì đã xảy ra, ở mức độ chi tiết phù hợp với khách hàng
- Khi nào doanh nghiệp biết được
- Thông tin hoặc dịch vụ nào có thể bị ảnh hưởng
- Doanh nghiệp đã thực hiện những bước nào
- Khách hàng nên làm gì ngay bây giờ
- Doanh nghiệp sẽ cung cấp thông tin cập nhật như thế nào
- Khách hàng có thể liên hệ với ai nếu có thắc mắc
Khi cuộc điều tra vẫn đang diễn ra, điều này cần được tiết lộ. Tính chính xác và minh bạch giúp khôi phục niềm tin. Việc cởi mở về tác động không đòi hỏi phải tiết lộ chi tiết kỹ thuật có thể giúp ai đó lặp lại cuộc tấn công.
Với những sự cố nghiêm trọng, khách hàng có thể cần hướng dẫn thực tế: thay mật khẩu, kích hoạt MFA, cảnh giác với email lừa đảo, liên hệ ngân hàng và bỏ qua những thư tự nhận là từ công ty trừ khi chúng đến qua một kênh chính thức. Thông báo cần giúp những bước đó dễ hiểu.
Khi nào và bằng cách nào thông báo cho cơ quan quản lý
Không phải mọi sự cố an ninh đều cần được báo cáo cho cơ quan giám sát. Một vi phạm phải báo cáo theo GDPR của Vương quốc Anh và EU phụ thuộc vào việc liệu vi phạm dữ liệu cá nhân có khả năng dẫn đến rủi ro cho quyền và tự do của mọi người hay không.
Hướng dẫn về vi phạm dữ liệu cá nhân(cửa sổ mới) của ICO phản ánh một yêu cầu chung cho cả GDPR của Vương quốc Anh và EU: các tổ chức phải báo cáo một vi phạm thuộc diện phải thông báo mà không chậm trễ quá mức và không muộn hơn 72 giờ sau khi biết về vi phạm đó. Một báo cáo muộn cần có lý do cho sự chậm trễ.
Khoảng thời gian 72 giờ đó có thể tạo áp lực, đặc biệt khi cuộc điều tra vẫn chưa hoàn tất. GDPR công nhận rằng các tổ chức có thể không có mọi chi tiết trong 72 giờ đầu tiên, vì vậy thông tin có thể được cung cấp theo từng giai đoạn, miễn là các thông tin cập nhật tiếp theo được đưa ra mà không chậm trễ quá mức.
Thông báo gửi đến cơ quan giám sát có liên quan (ICO tại Vương quốc Anh hoặc cơ quan bảo vệ dữ liệu quốc gia tại EU) thường nên bao gồm:
- Tính chất của vi phạm dữ liệu cá nhân
- Các loại và số lượng cá nhân bị ảnh hưởng ước tính
- Các loại và số lượng hồ sơ dữ liệu cá nhân bị ảnh hưởng ước tính
- Tên và chi tiết liên hệ của DPO hoặc một đầu mối liên hệ khác
- Những hậu quả có thể xảy ra của vi phạm
- Các biện pháp đã thực hiện hoặc đề xuất để xử lý vi phạm
ICO cũng cung cấp một trang trung tâm để báo cáo vi phạm(cửa sổ mới) và định tuyến các tổ chức đến quy trình báo cáo phù hợp.
Đối với những cá nhân bị ảnh hưởng, ngưỡng này khác. Khi một vi phạm dữ liệu cá nhân có khả năng dẫn đến rủi ro cao cho quyền và tự do của mọi người, họ phải được thông báo mà không chậm trễ quá mức. Đây là tình huống mà các nhóm pháp lý, quyền riêng tư và lãnh đạo nên tham gia sớm, ngay cả trong một doanh nghiệp nhỏ.
Chuẩn bị thư trước khi bạn cần đến chúng
Thời điểm tồi tệ nhất để thiết kế một quy trình truyền thông là trong lúc xảy ra sự cố. Việc đưa ra các tuyên bố hoặc hướng dẫn rồi phải cập nhật và thay đổi không hữu ích.
Đó là lý do vì sao việc chuẩn bị cấu trúc cho các thư của bạn trước khi cần đến chúng lại hữu ích. Không phải nội dung cuối cùng, vì mỗi sự cố sẽ khác nhau, mà là cấu trúc: ai cần phê duyệt thư, những chi tiết nào phải được đưa vào, thông tin cập nhật sẽ được ghi lại ở đâu và ai chịu trách nhiệm cho từng đối tượng.
Một bộ công cụ truyền thông đơn giản là đủ để giờ đầu tiên bớt hỗn loạn. Bộ công cụ có thể bao gồm:
- Mẫu thông báo sự cố nội bộ
- Mẫu thông báo cho khách hàng
- Mẫu cập nhật cho đối tác hoặc nhà cung cấp
- Điểm nói chuyện với khách hàng của bộ phận hỗ trợ khách hàng
- Danh sách kiểm tra thông báo cho cơ quan giám sát
- Danh sách người phát ngôn được phê duyệt
- Đầu mối liên hệ để báo cáo lên các bộ phận pháp lý, CNTT, quyền riêng tư, ban lãnh đạo và truyền thông
- Nơi ghi lại mọi cập nhật và quyết định
Chuẩn bị trước giúp đội ngũ có điểm khởi đầu an toàn khi vừa cần tốc độ vừa cần độ chính xác. Mẫu có sẵn giúp bạn dành nhiều sự tập trung hơn cho các sự kiện thực tế của sự cố: chuyện gì đã xảy ra, ai bị ảnh hưởng, những gì đã được xử lý và mọi người cần làm gì tiếp theo.
Cách Proton Pass for Business có thể hỗ trợ
Truyền thông về sự cố bảo mật dựa trên sự thật. Doanh nghiệp quản lý quyền truy cập càng rõ ràng trước khi sự cố xảy ra thì càng dễ giải thích điều gì đã xảy ra, điều gì có thể bị ảnh hưởng và điều gì đã được thay đổi.
Một trình quản lý mật khẩu cho doanh nghiệp như Proton Pass for Business giúp đội ngũ giảm thiểu rủi ro liên quan đến thông tin đăng nhập. Nhân viên có thể tạo mật khẩu mạnh, lưu trữ trong kho mật khẩu được mã hóa, sử dụng tính năng tự động điền, chia sẻ thông tin đăng nhập an toàn, quản lý mã khóa và dùng xác thực hai yếu tố tích hợp. Quản trị viên có thể áp dụng chính sách mật khẩu, xem nhật ký hoạt động, quản lý quyền truy cập bằng kiểm soát theo vai trò và hỗ trợ cấp phát tài khoản qua tích hợp SCIM và SSO.
Trong một sự cố, những tính năng này có thể giúp doanh nghiệp hành động tự tin hơn. Nếu tài khoản nhân viên bị xâm phạm, quản trị viên có thể xem lại quyền truy cập, xác định thông tin đăng nhập được chia sẻ có thể cần thay đổi, áp dụng xác thực mạnh hơn và giảm phụ thuộc vào mật khẩu được sao chép qua chat hoặc bảng tính.
Sẵn sàng ứng phó trước khi vi phạm xảy ra với một trình quản lý mật khẩu cho doanh nghiệp.
