FIRST lancerer nyt framework for krisekommunikation ved cyberhændelser

Når en organisation rammes af en cyberhændelse, er det sjældent de tekniske detaljer, der først møder kunder, medarbejdere og presse. Det er kommunikationen. Derfor har FIRSTs Cybersecurity Communications Special Interest Group (SIG) udgivet et nyt internationalt framework, der skal hjælpe organisationer med at planlægge og gennemføre offentlig krisekommunikation under cyberhændelser.

Dokumentet, Public Communications for Cyber Security Incidents, samler erfaringer fra nationale CSIRT'er, CERT NZ og internationale incident response-miljøer i en praktisk model for, hvordan organisationer bør kommunikere før, under og efter en cyberkrise.

Kommunikationsansvaret skal være en del af beredskabet

Et af frameworkets hovedbudskaber er, at kommunikation ikke kan improviseres, når angrebet er i gang.

Organisationer opfordres til på forhånd at udpege en Communications Lead som fast del af incident response-organisationen. Rollen får ansvar for at koordinere kommunikation mellem de tekniske teams, ledelsen, myndigheder, kunder og medier.

Frameworket anbefaler samtidig, at organisationer allerede inden en hændelse har:

• Kortlagt interessenter og kontaktveje.
• Identificeret lovpligtige indberetninger.
• Udarbejdet standardsvar og talepunkter.
• Trænet talspersoner.
• Etableret alternative kommunikationskanaler, hvis e-mail eller andre centrale systemer bliver utilgængelige.

En simpel model til svære beslutninger

Kernen i frameworket er en beslutningsmodel, der vurderer hændelser ud fra to faktorer:

• Risikoen for berørte interessenter.
• Hændelsens synlighed i offentligheden.

Ved at placere hændelsen i en firefeltsmodel kan organisationen hurtigt afgøre, hvor aggressivt og hvor hurtigt den skal kommunikere.

En driftsforstyrrelse uden nævneværdig påvirkning af brugerne kræver typisk begrænset kommunikation, mens et offentligt kendt databrud med risiko for kunder eller medarbejdere kræver hurtige og løbende opdateringer.

Modellen skal hjælpe kommunikationsansvarlige med at undgå den klassiske faldgrube: enten at kommunikere for lidt eller at kommunikere for sent.

Transparens fremhæves som strategisk værktøj

Frameworket går også imod den traditionelle refleks om at holde information tilbage, indtil alle fakta er kendt.

I stedet argumenterer forfatterne for, at organisationer bør overveje frivillige offentliggørelser ud over de lovpligtige krav. Tidlig og åben kommunikation kan ifølge vejledningen styrke tilliden hos kunder og andre interessenter, selv når alle detaljer endnu ikke er afdækket.

Samtidig understreges det, at organisationer skal være varsomme med at offentliggøre oplysninger, som kan påvirke den tekniske håndtering af hændelsen eller give angribere ny indsigt.

Budskabet er enkelt: Kommunikér det, der er bekræftet. Vær tydelig om det, der endnu undersøges.

Fokus på budskabets indhold

En stor del af frameworket er viet til selve formuleringen af kommunikationen.

Der gives konkrete anbefalinger om at:

• Tage ansvar for situationen.
• Undgå at bagatellisere hændelsen.
• Udvise empati over for de berørte.
• Forklare, hvilke handlinger organisationen har iværksat.
• Give modtagerne konkrete råd om næste skridt.

Vejledningen fraråder blandt andet formuleringer som "kun 100 personer blev ramt" eller udsagn om, at ingen data er kompromitteret, før undersøgelsen er afsluttet.

Derudover anbefales det at undgå at udpege gerningsmænd eller placere skyld hos medarbejdere, leverandører eller andre samarbejdspartnere, mens håndteringen står på.

Klar til brug i beredskabsarbejdet

FIRSTs framework foreligger i et dokument, der udover principper indeholder øvelser, interessentanalyser, færdige kommunikationsskabeloner og eksempler fra reelle cyberhændelser.

Dermed får organisationer en konkret værktøjskasse til at integrere kommunikationsberedskabet i deres eksisterende incident response-planer.

Mens tekniske playbooks efterhånden er standard i mange sikkerhedsorganisationer, peger FIRSTs nye framework på, at den kommunikative indsats fortjener samme grad af forberedelse. Når den næste cyberhændelse rammer, kan timingen og kvaliteten af de første budskaber vise sig at være lige så afgørende som de første tekniske modforanstaltninger.

Dokumentet er tilgængeligt på FIRSTs hjemmeside. 

FIRST står for Forum for incident response teams - en verdensomspændende organisation, som DKCERT har været medlem af siden etableringen i 1991.