Was hat ein CISO, der eine Datenschutzverletzung behandelt, und ein 10-jähriger, der gerade versehentlich das Fenster seines Nachbarn gebrochen hat, gemeinsam? Jede hat eine schwierige Wahl darüber, was als nächstes kommuniziert werden soll und wie. Da immer mehr Führungskräfte in Unternehmen lernen, kann es sein, dass Sie sich später nicht ehrlich und in Eigenverantwortung für Ihre Fehler äußern.
Uber weiß das zu gut.
Letzten Oktober verurteilte das US-Justizministerium Joe Sullivan, den ehemaligen Sicherheitschef des Unternehmens, für einen 2016 -Hack, bei dem Diebe Daten von etwa 57 Millionen Kunden gestohlen haben. Sullivan orchestrierte eine Bitcoin-Zahlung in Höhe von 100 000 US-Dollar, um die Hacker ruhig zu halten und anschließend den Hack vor externen Stakeholdern und dem neuen Management von Uber zu verbergen, sagte die Abteilung.
Die Hacker plädierten 2019 für schuldig, und zum Zeitpunkt dieses Schreibens wartet Sullivan auf eine Verurteilung, die ihn in Gefängnis von bis zu acht Jahren bringen könnte.
Kommunizieren Sie frühzeitig und häufig
Während nur wenige Unternehmen bis hin zu einer kriminellen Verschleierung gehen, werden viele versuchen, die Konsequenzen zu enttäuschen. Das ist ein gefährliches Spiel, sagt Jon Collins, VP of Research beim Analystenunternehmen GigaOm.
„Die Vertuschung ist ebenfalls ein Risiko. Und die Art und Weise, wie Sie sie aus geschäftlicher Sicht abschwächen, besteht darin, sich sehr schnell zu verbessern.“Jon Collins, VP für Forschung, GigaOm
„Jedes Risiko ist ein Geschäftsrisiko“, sagt er und fügt hinzu, dass Vertuschungen einen Mangel an zusammengeschlossenem Denken zeigen. „Das geschieht, weil sie es aus Sicherheitsperspektive und nicht aus Risikoperspektive sehen, aber die Verschleierung ist auch ein Risiko. Und die Art und Weise, wie Sie sie aus geschäftlicher Sicht abschwächen, besteht darin, sich sehr schnell zu verschärfen.“
Manchmal ist die targe und unklare Kommunikation auf mangelnde Bereitschaft zurückzuführen. Bei einer Wall Street Journal -Veranstaltung Ende November hat Todd McKinnon, Mitbegründer und CEO des Identitätsauthentifizierungsunternehmens Okta, bedauert, dass er einen Cybersicherheitsvorfall im Jahr 2022 behandelt hat.
Der Angriff auf einen der Anbieter von Okta, Sitel, ereignete sich im Januar, aber Okta gab den Vorfall erst im März zu, nachdem die Lapsus$-Hackinggruppe mit den Details auf seinem eigenen Telegram-Konto öffentlich bekannt wurde, einschließlich Screenshots von kompromittierten Systemen.
Der Chief Security Officer von Okta, David Bradbury (keine Beziehung zu diesem Berichterstatter), antwortete, dass Kunden keine Korrekturmaßnahmen ergreifen mussten. Lapsus$ setzte jedoch das Unternehmen online fort, indem es warnte, dass seine Kunden das Ziel waren, und die Kunden gingen mit ihrer Frustration über den Mangel an Klarheit (oder in einigen Fällen auch ohne direkte Kommunikation von Okta) an die Öffentlichkeit.
Okta stellte dann fest, dass 366 Kunden möglicherweise von dem Angriff betroffen waren, und Bradbury zeigte den Finger auf Sitel. „Ich bin sehr enttäuscht von dem langen Zeitraum, der sich zwischen unserer ersten Mitteilung an Sitel im Januar und der Ausgabe des vollständigen Untersuchungsberichts vor wenigen Stunden abzeichnete“, sagte er, gab aber auch später zu, dass das Unternehmen nach Erhalt dieses Berichts schneller hätte kommunizieren müssen.
„Es ist schwierig, sich über Dinge im Voraus zu informieren, insbesondere wenn Sie nicht über alle Informationen verfügen“, sagt Jenai Marinkovic, vCISO bei Tiro Security und Mitglied der ISACA Emerging Trends Working Group. Aber das sollte Unternehmen nicht davon abhalten, zu beurteilen, welche Informationen zuverlässig genug sind, um sie zu teilen und transparent damit zu sein, selbst wenn sie die Lücken später ausfüllen müssen, wenn ihre Untersuchung fortschreitet. Erklären Sie einfach, was Sie anfangs wissen, und kommunizieren Sie, was Sie als nächstes tun werden, rät sie. „Die Welt ist tendenziell ziemlich verzeihend, wenn Sie sich im Voraus mit Dingen beschäftigen, also ist es der Schlüssel, so schnell wie möglich die richtige Botschaft herauszubringen.“
Robuste Kommunikation beruht auf einer robusten Risikobewertung
Aber wie funktioniert dieses Geständnis, nachdem Sie sich entschlossen haben, einen Cybersicherheitsvorfall zu kommunizieren, anstatt ihn zu ignorieren oder unter den Teppich zu fegen? Beginnen Sie mit einer soliden Risikobewertung, sagt Marinkovic.
„Ihre Risikobewertung hätte die wahrscheinlichsten Arten von Verstößen, Bedrohungsakteure und Prozesse identifizieren müssen, auf die sie sich auswirken, zusammen mit allen betroffenen nachgelagerten Personen.“Jenai Marinkovic, vCISO, Tiro Security
Kommunikation ist ein wesentlicher Bestandteil eines breiteren Cyber-Vorfall- Reaktions-Playbooks , das auf verschiedene Bedrohungen zugeschnitten werden sollte. Sie können bei einem DDoS- oder Ransomware -Angriff anders reagieren und kommunizieren als in einer Informationsdiebstahl-Situation, die Kunden einem finanziellen Risiko aussetzt.
„Ihre Risikobewertung hätte die wahrscheinlichsten Arten von Verstößen, Bedrohungsakteure und Prozesse identifizieren sollen, die sich darauf auswirken, zusammen mit allen betroffenen nachgelagerten Personen“, sagt sie. „Wenn Sie also eine Risikobewertung angemessen durchführen, sollte dies in Ihren Kommunikationsplan einfließen.“
Von dort aus müssen Sie nur genaue Informationen kommunizieren. Das bedeutet, dass Sie eine feine Linie zwischen der frühen Kommunikation gehen, sodass Sie die Kontrolle über die Situation haben und sich auch Ihrer Fakten sicher sind, sagt Paul Watts, ein ausgezeichneter Analyst im Informationssicherheitsforum.
„Das kann manchmal ein Problem sein, wenn Sie denken, dass Sie diesen präventiven Vorfall ausräumen müssen, und dann erkennen Sie, dass die Umstände des Vorfalls entweder besser oder schlechter sind, was bedeutet, dass Sie sich neu positionieren müssen“, sagt er.
Nichts zerstört das Vertrauen während einer Datenschutzverletzung schneller als inkonsistente Informationen. Das britische Telekommunikationsunternehmen TalkTalk warf Kritik auf, nachdem es im Jahr 2015 scheinbar widersprüchliche Aussagen über Kundendatendiebstahl veröffentlichte, bei denen die britische Polizei sich zusammen mit den Kunden die Köpfe zerkratzte.
Konsistente Kommunikation bedeutet, eng und häufig mit Ingenieuren und IT-Mitarbeitern zu sprechen. Sie helfen Ihnen dabei, bekannte Fakten aus der Entwicklung von Theorien zu sortieren, sodass Sie nur kommunizieren können, worüber Sie sich sicher sind.
Überbrücken der Sprachlücke
Das Gespräch mit Ingenieuren ist ein gutes Beispiel dafür, wo ein multidisziplinärer Ansatz entscheidend ist, sagt Marinkovic. Die Übersetzung von Engineer-ese in etwas, das Kunden verstehen können, kann für interne Kommunikationsexperten ohne technischen Hintergrund schwierig sein. Es erfordert eine hartnäckige, prägnante Befragung, um relevante Fakten zu sammeln, die an Aufsichtsbehörden und betroffene Stakeholder weitergeleitet werden können.
„Ihr GRC-Team [Governance, Risk, and Compliance] versteht Kontrollen und ist tendenziell erfahrener bei der Übersetzung von Technologie für das Unternehmen“, sagt sie. Sie sollten sich im Raum aufhalten, wenn sie externe Kommunikationsstrategien entwickeln.
Achten Sie auf Leckagen
Die Sicherstellung eines einzigen externen Kommunikationskanals ist entscheidend, sagt Watts, der Organisationen warnt, auf interne Leckagen zu achten. Es ist wichtig, Mitarbeiter darin zu schulen , was sie während eines Vorfalls sagen können und was nicht. „Ansonsten schafft dies Möglichkeiten für Leistung und versehentliche Offenlegung, die dann über die Struktur einer formellen Kommunikationsstrategie, die Sie möglicherweise haben, hinwegschneiden können“, warnt er.
Unangemessene Kommunikation bedeutet nicht nur Gespräche mit Journalisten. Wenn der Angreifer eines Unternehmens über ein Twitter-Konto verfügt, könnte es für faszinierte Mitarbeiter verlockend sein, ihnen von einem persönlichen Konto aus zu folgen. Sogar das kann die Angriffsfläche des Unternehmens erhöhen und Probleme für das interne Sicherheitsteam verursachen, sagt Marinkovic.
Opfer einer Datenschutzverletzung ziehen häufig Forensikexperten von Drittanbietern hinzu, um das Problem zu verfolgen und zu beheben. Die Beschaffung professioneller Kommunikatoren, die sich mit Cyberkrisenszenarien auskennen, kann genauso wertvoll sein, sagen Experten.
„Die Einbindung der richtigen PR-Firma hilft Ihnen, diese Botschaft authentisch zu vermitteln“, sagt Marinkovic. Niemand möchte hören, wie wichtig ihre Daten für Sie sind, nachdem ein Dieb sie im gesamten dunklen Web geputzt hat. Stattdessen ist ein klares, geschäftsähnliches Konto darüber, was passiert ist und was Sie tun, um es zu beheben, der beste Weg nach vorne – und ein wenig echte Bescheidenheit würde nicht schaden.
