6 สิ่งที่ไม่ควรทำหลังจากการละเมิดข้อมูล

การบำรุงรักษาและบังคับใช้การรักษาความปลอดภัยด้านไอทีนั้นเป็นสิ่งที่เราได้กล่าวถึงในหลาย ๆ ด้านโดยเฉพาะอย่างยิ่งวิธีการและแนวโน้มการรักษาความปลอดภัยซึ่งเป็นข้อมูลที่คุณควรอ่านอย่างละเอียด นอกจากนี้คุณควรตรวจสอบให้แน่ใจว่าธุรกิจของคุณมีความพร้อมในการปกป้องและป้องกันตัวเองจากการถูกโจมตีทางไซเบอร์โดยเฉพาะอย่างยิ่งผ่านการป้องกันจุดสิ้นสุดระดับ IT และการจัดการข้อมูลผู้ใช้และการควบคุมการเข้าถึง กระบวนการสำรองข้อมูลที่มั่นคงและผ่านการทดสอบนั้นเป็นสิ่งที่ต้องมีเช่นกัน น่าเสียดายที่ playbook สำหรับการละเมิดข้อมูลเปลี่ยนแปลงอยู่ตลอดเวลาซึ่งหมายความว่าการกระทำบางอย่างของคุณในระหว่างเกิดภัยพิบัติอาจเป็นอันตรายได้ นั่นคือสิ่งที่ชิ้นนี้เข้ามา

เราหารือถึงสิ่งที่ บริษัท ควรหลีกเลี่ยงเมื่อพวกเขาตระหนักว่าระบบของพวกเขาถูกละเมิด เราได้พูดคุยกับผู้เชี่ยวชาญหลายคนจาก บริษัท รักษาความปลอดภัยและ บริษัท วิเคราะห์อุตสาหกรรมเพื่อทำความเข้าใจกับข้อผิดพลาดที่อาจเกิดขึ้นและสถานการณ์ภัยพิบัติที่พัฒนาขึ้นหลังจากการโจมตีไซเบอร์

1. อย่าพูดโพล่งออกมา

ในกรณีที่มีการโจมตีสัญชาตญาณแรกของคุณจะบอกให้คุณเริ่มกระบวนการแก้ไขสถานการณ์ ซึ่งอาจรวมถึงการปกป้องจุดสิ้นสุดที่ได้รับการกำหนดเป้าหมายหรือย้อนกลับสู่การสำรองข้อมูลก่อนหน้าเพื่อปิดจุดเข้าใช้งานที่ผู้โจมตีของคุณใช้ น่าเสียดายที่ถ้าคุณไม่เคยพัฒนากลยุทธ์มาก่อนการตัดสินใจที่เร่งรีบไม่ว่าคุณจะทำอะไรหลังจากการโจมตีอาจทำให้สถานการณ์แย่ลง

Mark Nunnikhoven รองประธานฝ่ายวิจัยคลาวด์ของ บริษัท Trend Micro ผู้ให้บริการโซลูชั่นรักษาความปลอดภัยในโลกไซเบอร์กล่าวว่าสิ่งแรกที่คุณไม่ควรทำหลังจากทำผิดคือสร้างคำตอบของคุณได้ทันที "ส่วนสำคัญของแผนการตอบสนองเหตุการณ์ของคุณคือการเตรียมผู้ติดต่อที่สำคัญควรถูกแมปล่วงหน้าและจัดเก็บแบบดิจิทัลมันควรจะมีอยู่ในรูปแบบสำเนาในกรณีที่มีการละเมิดภัยพิบัติเมื่อตอบสนองต่อการละเมิดสิ่งสุดท้ายที่คุณ จำเป็นต้องทำคือพยายามคิดว่าใครเป็นผู้รับผิดชอบต่อการกระทำและใครสามารถอนุมัติคำตอบที่หลากหลาย "

Ermis Sfakiyanudis ประธานและซีอีโอของ บริษัท Trivalent ผู้ให้บริการด้านการปกป้องข้อมูลเห็นด้วยกับแนวทางนี้ เขากล่าวว่าเป็นเรื่องสำคัญที่ บริษัท ต่างๆจะ "ไม่ประหลาด" หลังจากพวกเขาถูกโจมตี “ ในขณะที่การเตรียมพร้อมในการเผชิญกับการรั่วไหลของข้อมูลอาจก่อให้เกิดความเสียหายต่อ บริษัท ที่ไม่สามารถแก้ไขได้ แต่ความตื่นตระหนกและความระส่ำระสายก็เป็นอันตรายอย่างยิ่ง” เขาอธิบาย "เป็นสิ่งสำคัญที่ บริษัท ที่ละเมิดไม่ได้ออกจากแผนการตอบสนองเหตุการณ์ซึ่งควรรวมถึงการระบุสาเหตุที่น่าสงสัยของเหตุการณ์เป็นขั้นตอนแรกตัวอย่างเช่นการละเมิดเกิดจากการโจมตี ransomware ที่ประสบความสำเร็จมัลแวร์ในระบบ ไฟร์วอลล์ที่มีพอร์ตเปิดซอฟต์แวร์ที่ล้าสมัยหรือภัยคุกคามจากบุคคลภายในโดยไม่ได้ตั้งใจถัดไปแยกระบบที่มีผลกระทบและกำจัดสาเหตุของการละเมิดเพื่อให้มั่นใจว่าระบบของคุณไม่ปลอดภัย "

Sfakiyanudis กล่าวว่าเป็นเรื่องสำคัญที่ บริษัท จะต้องขอความช่วยเหลือเมื่ออยู่ในหัว “ หากคุณพิจารณาว่ามีการฝ่าฝืนเกิดขึ้นจริง ๆ หลังจากการตรวจสอบภายในของคุณให้นำความเชี่ยวชาญของบุคคลที่สามมาช่วยในการจัดการและลดการเสีย "เขากล่าว "ซึ่งรวมถึงที่ปรึกษาด้านกฎหมายผู้ตรวจสอบภายนอกที่สามารถดำเนินการตรวจสอบทางนิติเวชอย่างละเอียดและผู้เชี่ยวชาญด้านการประชาสัมพันธ์และการสื่อสารที่สามารถสร้างกลยุทธ์และสื่อสารกับสื่อในนามของคุณ

"ด้วยคำแนะนำจากผู้เชี่ยวชาญที่รวมกันนี้องค์กรต่างๆยังคงสงบผ่านความสับสนวุ่นวายระบุว่าช่องโหว่ใดที่ทำให้เกิดการรั่วไหลของข้อมูลการแก้ไขเพื่อให้ปัญหาไม่เกิดขึ้นอีกในอนาคตและมั่นใจได้ว่าการตอบสนองต่อลูกค้าที่ได้รับผลกระทบนั้นเหมาะสมและทันเวลา ยังทำงานร่วมกับที่ปรึกษาด้านกฎหมายของพวกเขาเพื่อตรวจสอบว่ามีการแจ้งการบังคับใช้กฎหมายหรือไม่และเมื่อใด "

2. อย่าเงียบ

เมื่อคุณถูกโจมตีมันเป็นเรื่องสบายใจที่จะคิดว่าไม่มีใครอยู่นอกวงในของคุณรู้ว่าเกิดอะไรขึ้น น่าเสียดายความเสี่ยงที่นี่ไม่คุ้มกับรางวัล คุณจะต้องการสื่อสารกับพนักงานผู้ขายและลูกค้าเพื่อให้ทุกคนรู้ว่ามีการเข้าถึงอะไรคุณทำเพื่อแก้ไขสถานการณ์และวางแผนที่จะทำอะไรเพื่อไม่ให้มีการโจมตีที่คล้ายกันเกิดขึ้นอีกในอนาคต "อย่าเพิกเฉยต่อพนักงานของคุณ" ไฮดี้ชีย์นักวิเคราะห์อาวุโสด้านความปลอดภัยและความเสี่ยงของ Forrester Research กล่าว "คุณจำเป็นต้องสื่อสารกับพนักงานของคุณเกี่ยวกับเหตุการณ์และให้คำแนะนำแก่พนักงานของคุณเกี่ยวกับสิ่งที่ต้องทำหรือพูดว่าพวกเขาถามเกี่ยวกับการละเมิด"

Shey เช่น Sfakiyanudis กล่าวว่าคุณอาจต้องการจ้างทีมงานประชาสัมพันธ์เพื่อช่วยควบคุมการส่งข้อความที่อยู่เบื้องหลังการตอบกลับของคุณ นี่เป็นเรื่องจริงโดยเฉพาะอย่างยิ่งสำหรับการละเมิดข้อมูลขนาดใหญ่และมีราคาแพง "โดยอุดมคติแล้วคุณต้องการให้ผู้ให้บริการดังกล่าวระบุไว้ล่วงหน้าว่าเป็นส่วนหนึ่งของการวางแผนการตอบสนองเหตุการณ์ของคุณเพื่อให้คุณพร้อมที่จะเริ่มการตอบสนองของคุณ" เธออธิบาย

เพียงเพราะคุณกำลังดำเนินการเชิงรุกเกี่ยวกับการแจ้งให้สาธารณะทราบว่าคุณถูกละเมิดนั่นไม่ได้หมายความว่าคุณสามารถเริ่มออกแถลงการณ์และประกาศที่น่าเชื่อถือได้ ตัวอย่างเช่นเมื่อ toymaker VTech ถูกละเมิดรูปถ่ายของเด็ก ๆ และบันทึกการแชทจะถูกเข้าถึงโดยแฮกเกอร์ หลังจากสถานการณ์ดังกล่าวสิ้นสุดลงโทมเกอร์ได้เปลี่ยนข้อกำหนดในการให้บริการเพื่อสละความรับผิดชอบในกรณีที่มีการละเมิด ลูกค้าไม่มีความสุขเลย “ คุณไม่ต้องการให้ดูเหมือนว่าคุณกำลังพยายามซ่อนตัวอยู่เบื้องหลังวิธีการทางกฎหมายไม่ว่าจะเป็นการหลีกเลี่ยงความรับผิดชอบหรือควบคุมการเล่าเรื่อง” Shey กล่าว "ดีกว่าที่จะมีการตอบสนองการฝ่าฝืนและแผนการจัดการวิกฤตเพื่อช่วยเหลือการสื่อสารที่เกี่ยวข้องกับการละเมิด"

3. อย่าสร้างข้อความเท็จหรือทำให้เข้าใจผิด

นี่เป็นสิ่งที่ชัดเจน แต่คุณจะต้องแม่นยำและซื่อสัตย์เท่าที่จะเป็นไปได้เมื่อพูดถึงสาธารณะ สิ่งนี้เป็นประโยชน์ต่อแบรนด์ของคุณ แต่ก็เป็นประโยชน์ต่อจำนวนเงินที่คุณจะชดใช้จากกรมธรรม์ประกันไซเบอร์ของคุณหากคุณมี “ อย่าออกแถลงการณ์สาธารณะโดยไม่คำนึงถึงนัยของสิ่งที่คุณกำลังพูดและวิธีที่คุณฟัง” นูนินินกล่าว

“ มันเป็นการโจมตีที่ 'ซับซ้อน' จริง ๆ ใช่ไหมการติดป้ายเป็นอย่างนี้ไม่จำเป็นว่าจะต้องทำให้เป็นจริง "เขากล่าวต่อ "CEO ของคุณจำเป็นต้องเรียกสิ่งนี้ว่า" การก่อการร้าย "หรือไม่คุณได้อ่านกรมธรรม์ประกันภัยไซเบอร์ของคุณเพื่อทำความเข้าใจการยกเว้นหรือไม่"

Nunnikhoven แนะนำให้สร้างข้อความที่ "ไม่น่าเบื่อบ่อยและชัดเจนว่าเป็นการกระทำที่กำลังถูกดำเนินการและผู้ที่ต้องดำเนินการ" พยายามหมุนสถานการณ์เขากล่าวว่ามีแนวโน้มที่จะทำให้สิ่งต่าง ๆ แย่ลง “ เมื่อผู้ใช้ได้ยินเกี่ยวกับการฝ่าฝืนจากบุคคลที่สามมันจะลบล้างความไว้วางใจที่ยากจะได้รับทันที” เขาอธิบาย "ออกไปข้างหน้าของสถานการณ์และอยู่ข้างหน้าพร้อมกับการสื่อสารที่รัดกุมในทุกช่องทางที่คุณใช้งานอยู่"

4. จำการบริการลูกค้า

หากการละเมิดข้อมูลของคุณส่งผลกระทบต่อบริการออนไลน์ประสบการณ์ของลูกค้าหรือแง่มุมอื่น ๆ ของธุรกิจของคุณที่อาจทำให้ลูกค้าส่งข้อซักถามให้แน่ใจว่าได้ให้ความสำคัญกับเรื่องนี้เป็นประเด็นแยกต่างหากและสำคัญ การเพิกเฉยต่อปัญหาของลูกค้าของคุณหรือแม้แต่การพยายามเปิดเผยโชคร้ายให้กลายเป็นผลประโยชน์ของคุณสามารถเปลี่ยนข้อมูลที่สำคัญให้กลายเป็นการสูญเสียรายได้และธุรกิจได้อย่างรวดเร็ว

ยกตัวอย่างกรณีละเมิด Equifax บริษัท เดิมบอกกับลูกค้าว่าพวกเขาอาจมีการรายงานเครดิตฟรีหนึ่งปีหากพวกเขาไม่ฟ้อง แม้แต่พยายามเปลี่ยนช่องโหว่เป็นศูนย์กำไรเมื่อต้องการเรียกเก็บเงินจากลูกค้าเพิ่มเติมหากพวกเขาขอให้รายงานของพวกเขาหยุดชะงัก นั่นเป็นข้อผิดพลาดและส่งผลกระทบต่อความสัมพันธ์กับลูกค้าของ บริษัท ในระยะยาว สิ่งที่ บริษัท ควรทำคือให้ลูกค้าเป็นคนแรกและเสนอรายงานที่ไม่มีเงื่อนไขทั้งหมดโดยไม่มีค่าใช้จ่ายในช่วงเวลาเดียวกันเพื่อเน้นย้ำความมุ่งมั่นที่จะรักษาลูกค้าให้ปลอดภัย

5. อย่าปิดเหตุการณ์เร็วเกินไป

คุณปิดจุดปลายทางที่เสียหายแล้ว คุณได้ติดต่อพนักงานและลูกค้าของคุณ คุณกู้คืนข้อมูลทั้งหมดของคุณแล้ว เมฆได้แยกออกจากกันและมีแสงแดดส่องลงมาบนโต๊ะของคุณ ไม่เร็วนัก แม้ว่าอาจดูเหมือนว่าวิกฤติของคุณจะสิ้นสุดลง แต่คุณต้องการดำเนินการตรวจสอบเครือข่ายของคุณอย่างต่อเนื่องและจริงจังเพื่อให้แน่ใจว่าไม่มีการโจมตีติดตาม

“ มีความกดดันอย่างมากในการคืนค่าบริการและกู้คืนหลังจากการฝ่าฝืน” Nunnikhoven กล่าว "ผู้โจมตีเคลื่อนผ่านทางเครือข่ายอย่างรวดเร็วเมื่อพวกเขาได้รับการตั้งหลักดังนั้นจึงเป็นการยากที่จะตัดสินใจอย่างเป็นรูปธรรมว่าคุณได้จัดการกับปัญหาทั้งหมดแล้วการขยันหมั่นเพียรและการตรวจสอบอย่างจริงจังยิ่งขึ้นเป็นขั้นตอนสำคัญจนกว่าคุณจะมั่นใจว่า ."

Sfakiyanudis เห็นด้วยกับการประเมินนี้ “ หลังจากที่การรั่วไหลของข้อมูลได้รับการแก้ไขแล้วและการดำเนินธุรกิจปกติจะกลับมาทำงานต่ออย่าใช้เทคโนโลยีเดิมและแผนการที่คุณเตรียมไว้ก่อนหน้านี้จะเพียงพอแล้ว” เขากล่าว "มีช่องว่างในกลยุทธ์ความปลอดภัยของคุณที่ถูกนำไปใช้ประโยชน์และแม้ว่าหลังจากช่องว่างเหล่านี้ได้รับการแก้ไขแล้วก็ไม่ได้หมายความว่าจะไม่มีอีกต่อไปในอนาคตเพื่อที่จะใช้วิธีการเชิงรุกในการป้องกันข้อมูลที่ก้าวไปข้างหน้า ข้อมูลของคุณละเมิดแผนการตอบสนองเป็นเอกสารมีชีวิตเมื่อบุคคลเปลี่ยนบทบาทและองค์กรมีวิวัฒนาการผ่านการควบรวมกิจการ ฯลฯ แผนจำเป็นต้องเปลี่ยนแปลงเช่นกัน "

6. อย่าลืมตรวจสอบ

"เมื่อตรวจสอบการละเมิดเอกสารทุกอย่าง" Sfakiyanudis กล่าว "การรวบรวมข้อมูลเกี่ยวกับเหตุการณ์สำคัญอย่างยิ่งในการตรวจสอบว่ามีการละเมิดเกิดขึ้นระบบและข้อมูลใดบ้างที่ได้รับผลกระทบและวิธีการแก้ไขหรือแก้ไขที่ได้รับการแก้ไขบันทึกผลการสอบสวนผ่านการรวบรวมและวิเคราะห์ข้อมูลเพื่อตรวจสอบภายหลังการตาย

“ อย่าลืมสัมภาษณ์ผู้ที่เกี่ยวข้องและจัดทำเอกสารคำตอบอย่างระมัดระวัง” เขากล่าวต่อ "การสร้างรายงานโดยละเอียดด้วยดิสก์อิมเมจรวมถึงรายละเอียดว่าใครทำอะไรที่ไหนและเมื่อเกิดเหตุการณ์จะช่วยให้คุณสามารถใช้มาตรการลดความเสี่ยงหรือการป้องกันข้อมูลใหม่หรือหายไปได้"

มาตรการดังกล่าวเห็นได้ชัดว่ามีผลทางกฎหมายหลังจากข้อเท็จจริง แต่นั่นไม่ใช่เหตุผลเดียวที่จะสอบสวนการโจมตี การค้นหาว่าใครเป็นผู้รับผิดชอบและใครได้รับผลกระทบเป็นความรู้ที่สำคัญสำหรับนักกฎหมายและควรได้รับการสอบสวนอย่างแน่นอน แต่การละเมิดเกิดขึ้นได้อย่างไรและเป้าหมายคือข้อมูลสำคัญสำหรับฝ่ายไอทีและเจ้าหน้าที่รักษาความปลอดภัยของคุณ ส่วนใดของขอบเขตที่ต้องการการปรับปรุงและส่วนใดของข้อมูลของคุณที่มีค่า (ไม่ชัดเจน) ที่มีค่าสำหรับ ne'er-do-wells? ตรวจสอบให้แน่ใจว่าคุณตรวจสอบมุมที่มีค่าทั้งหมดต่อเหตุการณ์นี้และตรวจสอบให้แน่ใจว่าผู้ตรวจสอบของคุณรู้ว่าถูกต้องตั้งแต่ต้น

หาก บริษัท ของคุณมีความคล้ายคลึงกันในการดำเนินการวิเคราะห์ด้วยตัวเองคุณอาจต้องการจ้างทีมภายนอกเพื่อดำเนินการสอบสวนนี้ให้คุณ (ตามที่ Sfakiyanudis กล่าวถึงก่อนหน้านี้) จดบันทึกเกี่ยวกับกระบวนการค้นหาด้วย โปรดทราบว่าคุณได้รับบริการใดจากผู้ขายรายใดที่คุณพูดคุยด้วยและคุณมีความสุขกับกระบวนการสอบสวนหรือไม่ ข้อมูลนี้จะช่วยคุณในการพิจารณาว่าจะยึดติดกับผู้ขายของคุณเลือกผู้ขายรายใหม่หรือจ้างพนักงานภายในองค์กรที่สามารถดำเนินการตามขั้นตอนเหล่านี้ได้หาก บริษัท ของคุณโชคร้ายพอที่จะได้รับการฝ่าฝืนครั้งที่สอง