Krisekommunikation efter et angreb

I partnerskab med Hewlett Packard Enterprise Security Services og FireEye Inc.

Her er et stadig mere almindeligt scenarie: Du er en virksomheds- eller it-leder, og du lærer – muligvis fra kilder uden for din virksomhed – at cyberangribere har kompromitteret din organisations systemer. Du ved endnu ikke, hvor alvorligt et brud du står over for, men det er klart tid til at aktivere din krisekommunikationsplan.

Bortset fra at du ikke har en plan. Eller du har en, men den dækker ikke cybersikkerhedskriser.

I begge tilfælde er du ikke alene. Sikkerhedseksperter siger, at selv de mest sikkerhedsbevidste organisationer ofte er sørgeligt dårligt forberedte, når det kommer til at kommunikere med interne og eksterne interessenter under og efter cyberangreb - og det lader dem kæmpe for at genvinde kontrollen i en krise. Det er typisk, fordi de ikke gjorde nok arbejde Før bruddet.

'Den største fejl, jeg ser virksomheder begå, er ikke at have en krisekommunikationsplan på plads,' siger Vitor De Souza, vicepræsident for global kommunikation for FireEye Inc., et førende globalt cybersikkerhedsfirma. De Souzas observation understøttes af en undersøgelse fra februar 2016 udført af MIT Technology Review Custom i samarbejde med FireEye og Hewlett Packard Enterprise (HPE) Security Services. 44 procent af de 225 adspurgte forretnings- og it-ledere sagde, at deres organisationer ikke havde planer for cybersikkerhedskrisekommunikation på plads; yderligere 15 procent vidste ikke, om de havde sådanne planer.

En lignende fejl: at stole på en krisekommunikationsplan, der fokuserer på andre typer nødsituationer - brande, strømsvigt, naturkatastrofer. Denne form for plan vil ikke omhandle, hvordan man kommunikerer om problemer, der er unikke for brud på informationssikkerheden, såsom mulig cyberkriminel adgang til personligt identificerbare oplysninger eller virksomheders intellektuelle ejendomsret.

Video: Krisekommunikation efter et angreb

Cyberangreb er mere komplicerede at håndtere end brande, og de er langt mere komplicerede at diskutere med offentligheden. 'Hvis der er en brand i bygningen, er der en eller to veje ud, men i cyberspace er der mange forskellige scenarier. Du skal vide, hvad du måske står over for, siger De Souza.

Som individer i en organisation, hvis vi lugter røg eller ser en brand, føler vi os bemyndiget til at slå alarm, siger Andrzej Kawalec, CTO for HPE Security Services. En brandalarm aktiverer nødberedskab og krisekommunikationsplaner på en ret ligetil måde, men, siger Kawalec, dette sker ikke med cybersikkerhedshændelser af to grunde.

Undersøgelsesresultater

• Cybersikkerhedsudfordringer, -risici, -tendenser og -påvirkninger

  Produceret af MIT Technology Review Custom i partnerskab med Hewlett Packard Enterprise Security Services og FireEye Inc.

For det første bliver brud ofte først rapporteret af udenforstående, hvilket overrasker organisationer. I 2015 blev 53 procent af de hændelser, der blev håndteret af Mandiant, en FireEye-virksomhed, først bragt til virksomhedernes opmærksomhed af eksterne kilder, såsom kunder, partnere, retshåndhævende embedsmænd, journalister eller angriberne selv. Umiddelbart er de i en meget reaktiv situation, med en stor grad af usikkerhed, bemærker Kawalec.

For det andet forekommer brud ofte over længere perioder. Den gennemsnitlige tid, som modstandere af Mandiant-klienter tilbragte inden for perimeteren før opdagelse i 2015 var 146 dage, ifølge Mandiant-rapporten M-Trends 2016 . Hvis du finder det på dag fem, er der kun så meget skade, der kan gøres på den tid, siger Kawalec. Men nogle gange bliver brud ikke opdaget i måneder eller endda år. Lange forsinkelser i opdagelsen gør krisen langt sværere at håndtere – og at forklare til forskellige berørte målgrupper. De spørgsmål, der stilles i kølvandet på et brud – såsom hvorfor det tog så lang tid at opdage bruddet, og hvorfor det skete i første omgang – har potentiale til at være meget mere skadelige for en virksomheds omdømme end dem, der typisk bliver stillet efter en brand eller anden naturkatastrofe.

Alligevel siger Kawalec og andre eksperter, at det er afgørende at holde interessenter informeret efter et brud. Det værste er rygter og formodninger, siger Kawalec. Skab en ramme for at besvare spørgsmål ærligt og med integritet. Vær gennemsigtig om, hvad du gør og ikke ved.

Kommuniker kontinuerligt – og fra toppen

Chris Leach, chefteknolog for HPE Security Services og tidligere informationssikkerhedschef (CISO) for en stor virksomhed, er enig. Kommuniker med folk opad og nedad, og kommuniker løbende, anbefaler han. Medtag det, du ved, for at skabe tillid til, at du som virksomhed tager fat på problemet og beskytter oplysningerne. Hvor det er muligt, forpligt dig til handling: Sig f.eks. 'vi skal få det løst af' - og udfyld derefter det tomme felt. Lover opdateringer, når der er flere oplysninger at dele.

Leach anbefaler dog, at man deler information på et behov-to-know-grundlag: Vi vil typisk ikke kommunikere alle detaljerne om et brud til alle medarbejdere, siger han. Vi deler kun nok til at sikre, at de er sikre på, at vi håndterer det, og at dette er information, de kunne og burde dele med deres kunder.

Samtidig er det vigtigt at adressere medarbejdernes bekymringer om, hvorvidt deres egne personlige oplysninger er blevet kompromitteret, siger Kawalec. Arbejdsgivere opbevarer typisk følsomme data om medarbejdere: løn, adresse, ansættelsesbaggrund, arbejdsresultater og andre personlige oplysninger. Af den grund, siger Kawalec, skal dine medarbejdere føle, at du kommunikerer med dem, og at de forstår, hvad der er sket.

Alle tre eksperter understreger vigtigheden af ​​at inddrage virksomhedens øverste ledelse i krisekommunikationsplanen ikke bare under et cyberangreb, men også i god tid før. Et brud er ikke et it-problem, siger De Souza. Det er et forretningsproblem. C-suiten skal være praktisk. Forbered dem. Når du har gjort det, har du en partner, en allieret, til at håndtere udfordringen.

Derudover ser smarte organisationer, der tager den digitale transformationsrejse til sig, deres cybersikkerhedskrisekommunikationsplan som et evigt igangværende arbejde, der opdaterer den, så den afspejler den uendelige udvikling af nye trusler. Et eksempel på en ny trussel: ransomware, som en angriber begrænser adgangen til et computersystem, indtil et firma kasserer et stort afpresningsgebyr. I en højprofileret hændelse i februar 2016 blokerede et ransomware-angreb medarbejdernes adgang til computersystemer på Hollywood Presbyterian Medical Center i Los Angeles. Cyberangriberne krævede, at hospitalet skulle betale, hvad der svarer til omkring 17.000 dollars via Bitcoin virtuelle valuta-systemet for at få dekrypteringsnøglen til at låse systemerne op. I den bedste interesse for at genoprette normal drift gjorde vi dette, skrev hospitalets præsident og administrerende direktør Allen Stefanek et brev lagt på hospitalets hjemmeside.

Stefaneks brev bemærkede, at det presbyterianske cyberangreb i Hollywood ikke kompromitterede patientbehandlingen, og at så vidt hospitalet kunne fortælle, fik angriberne aldrig adgang til medarbejder- eller patientoplysninger. Men løsesum-konceptet forstyrrede ledere i andre organisationer verden over. Hvad hvis dine systemer falder, fordi nogen beder dig om at betale 1,5 millioner dollars? spørger De Souza. Er du parat til at håndtere det? Lige så vigtigt: Hvad vil du sige om det – og adresserer din kommunikationsplan et sådant scenario?

Byg et stærkt fundament

Selvfølgelig vil krisekommunikationsplaner variere meget fra organisation til organisation. Men eksperterne giver nogle få anbefalinger til etablering af en effektiv krisekommunikationsramme:

• Skab et tværgående kommunikationsteam. Vi havde en HR-medarbejder. Vi havde kommunikations- og juridiske folk og en fra it-teamet, siger Leach i sin beskrivelse af cybersikkerhedskrise-kommunikationsteamet hos sin tidligere arbejdsgiver. Baseret på typen af ​​brud hentede kerneteamet nogle gange andre interne specialister ind. Så det kan omfatte en opbevaringsspecialist eller en specialist fra en branche i en anden region i verden, forklarer han.

• Etabler en klar ledelsesstruktur. 'Når ting sker, sker de hurtigt,' siger De Souza. Kommunikationstræet skal være veldefineret med en ejer, der er tryg ved at tage ansvaret.

• Tal med én stemme . Det betyder ikke nødvendigvis, at man bruger en enkelt talsmand. I stedet betyder det at sikre, at alle, der har beføjelse til at tale med interessenter, deler det samme budskab. I al vores kommunikation var der kun to eller tre personer, der fik lov til at tale for virksomheden, husker Leach. Han anbefaler at give disse talsmænd professionel medietræning - igen i god tid før deres behov for at bruge disse færdigheder.

• Hav kommunikationsplatforme klar til at gå. Folk er ikke vant til at håndtere en krise med Twitters hastighed, siger Kawalec. Hvis bruddet bliver offentligt, skal du sætte en dedikeret hjemmeside online så hurtigt som muligt. Opsæt flere tovejskanaler, så interessenter – medarbejdere, kunder, partnere, medier og andre – kan kontakte virksomheden med information eller spørgsmål.

• Øv, øv, øv. De Souza anbefaler at køre bordøvelser, regelmæssige prøver, der involverer kommunikationsstrategier til at reagere på forskellige typer cyberangreb. Hvor regelmæssigt? Souza siger i de bedste eksempler, han har set, at organisationer kører øvelser hvert kvartal og inkluderer C-suiten såvel som krisekommunikationsteamet. Du skal sikre dig, at kommunikationsplanen er operationel, og at du rent faktisk kan bruge den, bemærker han.

Se til ekstern ekspertise

Selvfølgelig mangler mange organisationer de interne ressourcer, der er nødvendige for at skabe, øve og løbende opdatere omfattende krisekommunikationsplaner, især i betragtning af den store mangfoldighed af potentielle cyberangrebsscenarier. I disse tilfælde giver det mening at henvende sig til eksterne partnere med stærk erfaring med at etablere krisekommunikationsplaner og bedste praksis. Et eksempel: HPE Security Services og FireEye, som har leveret hændelsesrespons, kompromisvurdering og trusselsdetektionstilbud til tusindvis af kunder over hele verden, og som også tilbyder masser af gennemtestet rådgivning om planlægning af krisekommunikation.

Det er klart, at du ikke kan kontrollere kommunikationscyklussen uden at have gjort noget arbejde på forhånd, bemærker Kawalec. Så på forhånd kan vi sammen med dig eller for dig udvikle en meget gennemtænkt kriseberedskabsplan med forskellige tegninger og scenarier. Så bruger vi det som en træningsmanual, som dine hold kan bruge til at betjene i realtid.

På den måde, når det uundgåelige opstår, er organisationer godt forberedte til at reagere, siger Kawalec. I øjeblikkets hede ved du, hvad du skal sige, og hvordan du siger det. Du ved, hvordan man formulerer forskellige budskaber til forskellige målgrupper. Du kan tage kontrol over situationen og kommunikere den ud.

For at lære mere om digital transformation og cybersikkerhed, udforsk venligst dette HPE-FireEye ressourcewebsted.

skjule