在安全事件發生後的最初幾小時內，您無法完整掌握事件的技術全貌。您的團隊可能還在試圖了解哪個帳號遭到入侵、哪些資料被存取、攻擊者達到了什麼程度，以及事件是否仍在持續中。
在調查的同時，採取行動的壓力立即湧現。員工聽到片段資訊，需要知道該怎麼做。與此同時，客戶可能會注意到服務中斷、可疑活動或異常的密碼重設請求。業務合作夥伴可能會詢問他們的系統或資料是否受到影響，而領導層需要決定由誰發言、可以確認哪些事項，以及何時沉默本身會成為一種風險。
安全事件溝通之所以困難，是因為企業必須在尚未掌握所有答案之前就保持透明，但又要資訊充足到不會妄加猜測。太早傳送的訊息可能造成混亂，但若太晚傳送，則可能損害信任、延緩防護行動，並引發監管方面的問題。
中小型企業不太可能已經制定或演練過其事件回應方案，這可能導致額外的混亂。即使是已有方案的大型企業，技術步驟可能已有文件記錄：控制事件、重設存取、保留證據、還原系統。溝通可能會被留到之後再處理，直到事件突然升級或發生變化。
準備事件應變的一部分，就是要知道誰需要收到您的訊息、他們需要知道什麼、由誰核准訊息，以及在調查仍在進行時如何清楚地傳達事實。
Proton Pass for Business 如何提供協助
溝通規劃應納入事件回應
事件回應常被描述為技術流程，但真實的事件很快就會變成跨部門的事務。IT 團隊或許能控制威脅，但領導層、法務、客戶支援服務、人力資源、公關和營運部門都需要知道發生了什麼事，以及他們被允許說什麼。
NCSC 關於網路事件中有效溝通(新視窗)的指引（這是適用範圍遠超英國的一般最佳實務）清楚指出了這一點：組織往往優先處理技術回應，而將溝通推到背景，即使溝通會影響員工、客戶、利害關係人和媒體在危機期間對組織的看法。
並非每起事件都需要公開聲明。但企業應事先知道由誰決定要溝通什麼、由誰核准對外訊息、由誰與客戶對話，以及由誰負責監管申報。
完善的資料外洩回應方案需要包含溝通層面。這應包括實用的詳細資料：
- 聯絡人清單
- 草稿範本
- 核准途徑
- 法律審查
- 客戶支援服務談話要點
- 監管機構通知責任
- 傳送內容、時間和對象的記錄。
回應的雙軌結構
事件回應需要兩條軌道：技術回應和溝通回應。它們彼此平行進行，並由事件負責人／回應負責人將兩者連結起來。
| 左軌：技術回應 | 右軌：溝通回應 |
| 控制事件 | 更新內部團隊 |
| 保護受影響的帳號 | 通知受影響的客戶或合作夥伴 |
| 保留證據 | 評估監管機構通知 |
| 還原系統 | 在事實變化時保持訊息一致 |
這可讓您組織回應流程，並確保團隊成員在承擔不同任務時能持續協作。
從受眾出發，而非公告
當一則訊息試圖服務所有人時，安全事件溝通就會失敗。員工、客戶、合作夥伴和監管機構需要不同程度的詳細資料，因為他們需要做出不同的決定。
您的內部團隊需要先獲得明確資訊
他們不需要所有詳細資料（尤其是在調查仍在進行時），但他們確實需要清楚知道哪些已確認、現在該做什麼，以及由誰領導回應。這意味著要知道應避免使用哪些系統或帳號、應立即採取什麼行動，以及哪些問題仍未解決。
員工也需要知道不該做什麼。例如：
- 請勿公開討論該事件
- 請勿在核准流程之外重設憑證
- 請勿以臨時編造的解釋聯繫客戶
- 請勿在未經指示的情況下轉寄可疑訊息。
客戶和合作夥伴需要知道他們如何受到影響
他們想知道自己的資料、存取權限、付款、服務或營運是否受到影響。良好的客戶通知應說明：
- 已知事項
- 可能涉及哪些類型的資料
- 企業正在採取的行動
- 客戶現在應該做什麼（如果適用的話）
- 他們可以在哪裡取得更新。
語氣應平實直接。客戶也不需要鑑識細節，他們只需要足以保護自己的資訊。
監管機關需要事實記錄
GDPR 資料外洩通知給相關監管機關（英國的 ICO(新視窗)、每個歐盟成員國的國家資料保護機關）並不是行銷訊息或客戶安心通知。反之，它需要是事實記錄，說明發生了什麼事、誰受到影響，以及您正在採取什麼行動。我們會在下方通知監管機關的章節中確切說明應包含哪些內容。
內部應溝通的內容
您的員工是應變的一部分，即使他們不在事件處理小組中。困惑的團隊可能會意外產生更多雜訊、分享不準確的資訊，或拖慢圍堵速度。另一方面，資訊充足的團隊可以協助保護帳號、將客戶引導至正確的頻道，並避免猜測蔓延。
內部安全事件公告應涵蓋：
- 以平實語言清楚摘要目前為止已確認的事項
- 哪些系統、帳號、團隊或資料可能受到影響
- 企業目前正在採取的行動
- 員工應立即採取的行動
- 誰可以對外溝通
- 更新將發布在何處
- 如何回報相關的可疑活動
有些方面不應包含在內：攻擊向量、根本原因分析和特定弱點通常在事件發生期間不會在內部共享，之後也往往不會，因為這些細節可能幫助其他攻擊者、造成法律風險，或暴露尚未關閉的漏洞。
第一則內部訊息不需要回答每個問題，它需要建立秩序。例如，員工可能需要僅透過核准的程序重設密碼、避免使用特定系統、保留可疑電子郵件，或停止使用共享的憑證，直到應變小組完成審查。
根據 密碼管理最佳做法 評估您現有的存取控制也很重要。在事件期間，過時或非正式的憑證共享可能更難了解哪些資料遭到暴露。
Proton 的 資料外洩防護 與企業資料外洩預防 指南說明了分層控制如何在資料外洩發生前減少暴露。安全的 憑證管理 是其中一層，因為它能幫助企業了解有哪些帳號存在、誰可以存取它們，以及需要快速變更什麼。
如何通知客戶資料外洩
向客戶發送資料外洩通知更困難，因為它帶有聲譽和法律責任。人們可能擔心身分盜用、帳號盜用、財務詐騙或私人資訊暴露。他們也可能對公司未能預防事件感到不滿。
良好的客戶訊息應誠實但不引起恐慌。它應避免技術術語，但要清楚。客戶需要了解涉及哪些資料、會產生什麼風險，以及他們接下來應該做什麼。
一個有用的結構是：
- 發生了什麼事，以適合客戶的詳細程度說明
- 企業何時察覺
- 哪些資訊或服務可能受到影響
- 企業已採取哪些步驟
- 客戶現在應該做什麼
- 企業將如何提供更新
- 客戶有問題可以聯絡誰
如果調查仍在進行中，應揭露此事。準確性和透明度有助於恢復信任。對影響保持開放不需要揭露可能幫助他人重複攻擊的技術細節。
對於嚴重事件，客戶可能需要實用指示：變更密碼、啟用 MFA、留意 網路釣魚電子郵件、聯絡他們的銀行，並忽略聲稱來自公司的訊息，除非它們透過官方頻道傳來。通知應讓這些步驟易於理解。
何時及如何通知監管機關
並非每個安全事件都需要向監管機關報告。根據英國和歐盟 GDPR，可報告的資料外洩取決於個人資料外洩是否可能對人民的權利和自由造成風險。
ICO 的 個人資料外洩指南(新視窗) 反映了英國和歐盟 GDPR 的共同要求：組織必須在發現後不無故延遲且不遲於 72 小時內報告可通知的資料外洩。延遲報告需要說明延遲原因。
這 72 小時的窗口可能造成壓力，尤其是當調查仍未完成時。GDPR 認可組織可能無法在最初 72 小時內掌握每個細節，因此可以分階段提供資訊，只要進一步的更新在不無故延遲的情況下提供即可。
向相關監管機關（英國的 ICO，或歐盟的國家資料保護機關）發送的通知通常應包括：
- 個人資料外洩的性質
- 受影響個人的類別和大概人數
- 受影響的個人資料記錄的類別和大概數量
- DPO 或其他聯絡點的姓名和聯絡詳細資訊
- 外洩可能造成的後果
- 已採取或提議採取的處理措施
ICO 也提供一個中央頁面來 報告資料外洩(新視窗)，並將組織引導至適當的報告流程。
對於受影響的個人，門檻不同。如果個人資料外洩可能對人民的權利和自由造成高風險，必須不無故延遲地通知他們。這種情況需要法律、隱私和領導團隊及早介入，即使是在小型企業中也是如此。
在需要之前準備好訊息
設計溝通流程的最糟時機就是事件發生期間。發布需要更新和變更的聲明或指引並沒有幫助。
這就是為什麼在需要之前準備好訊息的結構很有幫助。不是最終措辭，因為每個事件都會不同，而是結構：誰需要核准訊息、必須包含哪些細節、更新將記錄在何處，以及誰負責每個受眾。
一套簡單的溝通工具組就足以讓最初的一小時不那麼混亂。內容可包括：
- 內部事件公告範本
- 客戶通知範本
- 合作夥伴或供應商更新範本
- 客戶支援服務談話要點
- 監管機關通知檢查清單
- 核准的發言人清單
- 法律、IT、隱私、管理層及通訊部門的升級聯絡人
- 記錄所有更新和決策的位置
當速度和準確性同樣重要時，做好準備能為團隊提供安全的起點。預先備好的範本可讓團隊將更多注意力留給事件的事實：發生了什麼事、誰受到影響、已經採取了哪些行動，以及接下來需要做什麼。
Proton Pass for Business 如何提供協助
安全事件的溝通取決於事實。企業在事件發生前越能清楚地管理存取權限，就越容易說明發生了什麼事、可能受到什麼影響，以及已變更了哪些內容。
像 Proton Pass for Business 這樣的企業密碼管理程式可協助團隊降低與憑證相關的暴露風險。員工可以產生高強度密碼、將密碼儲存在已加密的密碼保管庫中、使用自動填入、安全地共享憑證、管理通行密鑰，並使用內建的雙重身分驗證。管理員可以套用密碼政策、檢閱活動日誌、透過角色型控制管理存取權限，並透過 SCIM 和 SSO 整合支援佈建。
在事件發生期間，這些功能可協助企業更有信心地採取行動。如果員工帳號遭到入侵，管理員可以檢閱存取權限、找出可能需要輪換的共享憑證、強制執行更嚴格的驗證，並減少對透過聊天或試算表複製密碼的依賴。
使用企業密碼管理程式，在資料外洩發生前做好應變準備。
