Komunikacja po cyberincydencie: plan, zanim pojawią się plotki

Po cyberincydencie firma może mieć sprawny zespół techniczny i jednocześnie przegrać walkę o zaufanie. Pracownicy, klienci i partnerzy widzą przerwę w działaniu usługi, niepokojący e-mail albo informacje w mediach, ale nie wiedzą, co się wydarzyło. W tę pustkę szybko wchodzą domysły, fałszywe instrukcje i osoby podszywające się pod organizację.

16 października CERT Polska opublikował materiał o komunikacji kryzysowej w cyberbezpieczeństwie. Zwraca w nim uwagę, że odbiorcy potrzebują odpowiedzi na cztery podstawowe pytania: co się wydarzyło, czy sytuacja ich dotyczy, co robi organizacja oraz jak oni sami mogą się chronić. Poradnik jest skierowany do osób odpowiedzialnych za komunikację, zarządzanie kryzysowe i kierownictwo.

Wniosek Breachroad: pierwszy komunikat nie musi zawierać pełnej diagnozy, ale musi być prawdziwy, użyteczny i mieć właściciela. Cisza do czasu zakończenia dochodzenia zwykle nie jest neutralna — pozostawia odbiorców bez bezpiecznej instrukcji i ułatwia rozwój dezinformacji.

Komunikacja jest częścią reagowania, nie dodatkiem

Komunikat może ograniczyć skutki technicznego zdarzenia. Jeśli istnieje ryzyko przejęcia kont, użytkownicy mogą dostać bezpieczną instrukcję zmiany hasła, włączenia MFA lub rozpoznawania kolejnej fali phishingu. Jeśli system jest niedostępny, klienci dowiedzą się, który kanał zastępczy jest prawdziwy. Jeśli przestępcy używają skradzionych danych do podszywania się pod firmę, szybkie ostrzeżenie może przerwać część prób.

To wymaga połączenia trzech strumieni pracy:

• zespół techniczny ustala fakty, zakres i pewność informacji;
• prawnicy i właściciele ryzyka oceniają obowiązki oraz konsekwencje publikacji;
• komunikacja zamienia potwierdzone ustalenia w jasne instrukcje dla konkretnych odbiorców.

Żaden z tych zespołów nie powinien działać sam. Komunikacja bez danych może wprowadzić w błąd, a dochodzenie bez komunikacji może narazić ludzi na powtarzalną szkodę. CERT Polska przypomina też, że dla części podmiotów informowanie użytkowników wynika z obowiązków prawnych. Konkretne terminy, odbiorców i treść trzeba ustalić z osobą odpowiedzialną za zgodność i obsługę prawną danego podmiotu.

Co powinno znaleźć się w pierwszym komunikacie

Pierwsza wersja powinna być krótka. Jej zadaniem nie jest opowiedzenie całej historii, tylko uporządkowanie sytuacji. Dobrze przygotowany komunikat zawiera:

1. czas wykrycia lub wystąpienia zdarzenia, o ile jest potwierdzony;
2. nazwę usługi lub procesu, którego dotyczy problem;
3. znany wpływ oraz wyraźnie oznaczony zakres, którego jeszcze nie ustalono;
4. działania podjęte przez organizację;
5. konkretną instrukcję dla odbiorcy albo informację, że na tym etapie nie musi działać;
6. oficjalny kanał kolejnych aktualizacji i czas następnego komunikatu.

Nie wpisuj przyczyn, sprawcy ani zakresu danych jako faktów, dopóki dowody tego nie potwierdzają. Zamiast „nie doszło do wycieku” lepiej napisać, że analiza wpływu na dane trwa, jeśli właśnie taki jest stan. Zamiast obiecywać dokładną godzinę przywrócenia usługi można wskazać czas następnej aktualizacji.

Jeden komunikat nie pasuje do wszystkich

Pracownik potrzebuje wiedzieć, jak pracować i gdzie zgłaszać podejrzane wiadomości. Klient chce zrozumieć wpływ na usługę i własne dane. Partner techniczny potrzebuje uzgodnionego kanału koordynacji. Regulator lub CSIRT może wymagać innego poziomu szczegółowości, terminów i formatu. Media oczekują osoby upoważnionej do wypowiedzi.

Przygotuj wcześniej mapę odbiorców oraz właścicieli komunikatów. Nie oznacza to tworzenia pięciu sprzecznych narracji. Rdzeń faktów powinien być wspólny, a instrukcja i poziom szczegółowości dopasowane do roli odbiorcy.

Kanał komunikacji również może zawieść. Jeśli incydent obejmuje firmową pocztę lub stronę internetową, gotowy profil statusowy, numer infolinii albo drugi kanał dla pracowników stają się częścią ciągłości działania. Adres zapasowy trzeba wcześniej uwierzytelnić odbiorcom; nowa domena ogłoszona dopiero w czasie kryzysu może wyglądać jak phishing.

Aktualizuj także wtedy, gdy niewiele się zmieniło

Brak przełomu nie usprawiedliwia wielogodzinnej ciszy po zapowiedzianej aktualizacji. Krótka informacja, że dochodzenie trwa, usługa pozostaje ograniczona, a zalecenia się nie zmieniły, potwierdza odbiorcom, że oficjalny kanał nadal działa.

Każdy komunikat powinien mieć numer lub czas publikacji. Jeżeli wcześniejsza informacja była błędna, popraw ją wprost i wyjaśnij, co się zmieniło. Usuwanie starego komunikatu bez śladu pozwala krążyć zrzutom ekranu i podważa wiarygodność nowej wersji.

Zapisuj również, na jakiej podstawie zatwierdzono treść: kto dostarczył fakt techniczny, kto ocenił skutki i kto zezwolił na publikację. Taki rejestr pomaga utrzymać spójność podczas zmian zespołu i później ulepszyć procedurę.

Ćwiczenie, które można wykonać bez narzędzi

Przyjmij scenariusz: w poniedziałek o 8:15 część klientów nie może się zalogować, helpdesk widzi nietypowy wzrost resetów haseł, a w mediach społecznościowych pojawia się niepotwierdzona informacja o wycieku. Zespół techniczny nie zna jeszcze przyczyny.

W 30 minut ustalcie:

• kto aktywuje zespół kryzysowy i kto zatwierdza publikację;
• jakie fakty są potwierdzone, a czego jeszcze nie wiadomo;
• co powinni zrobić pracownicy i klienci;
• gdzie pojawi się pierwszy komunikat, jeśli poczta nie jest zaufana;
• kiedy nastąpi kolejna aktualizacja;
• kto monitoruje fałszywe komunikaty podszywające się pod organizację.

To przykład Breachroad, a nie opis incydentu CERT Polska. Jego wartość polega na odkryciu brakujących numerów telefonów, uprawnień i kanałów, zanim prawdziwe zdarzenie wymusi decyzję pod presją.

Fakty o nowej publikacji i jej głównych zaleceniach pochodzą z materiału CERT Polska. Proponowana struktura pierwszego komunikatu, rejestr zatwierdzeń i scenariusz ćwiczenia są rekomendacjami Breachroad. Warto połączyć je z planem reagowania na incydenty oraz przetestować podczas ćwiczenia tabletop dla organizacji.