6 saker som inte ska göras efter ett dataintrång

Att upprätthålla och upprätthålla IT-säkerhet är något vi har täckt från flera vinklar, speciellt hur man utvecklar och utvecklar säkerhetstrender, och det är verkligen information som du bör smälta noggrant. Dessutom bör du se till att ditt företag är välutrustat för att skydda och försvara sig mot cyberattacker, särskilt via slutpunktsskydd på IT-nivå och granulär identitetshantering och åtkomstkontrollåtgärder. En gedigen och testad säkerhetskopieringsprocess är också ett måste. Tyvärr fortsätter spelboken för dataintrång att förändras, vilket innebär att vissa av dina handlingar under en katastrof kan vara lika skadliga som de är till hjälp. Det är där denna bit kommer in.

I den här artikeln diskuterar vi vad företag bör undvika att göra när de inser att deras system har brutits. Vi pratade med flera experter från säkerhetsföretag och branschanalysföretag för att bättre förstå de potentiella fallgropar och katastrofscenarier som utvecklas i kölvattnet av cyberattacker.

1. Improvisera inte

I händelse av en attack kommer din första instinkt att berätta att du ska börja rätta till situationen. Detta kan innefatta att skydda de slutpunkter som har riktats in eller återgå till tidigare säkerhetskopior för att stänga in ingångspunkten som används av dina angripare. Tyvärr, om du inte tidigare hade utvecklat en strategi, kan oavsett hastiga beslut du fattar efter en attack förvärra situationen.

“Det första du inte ska göra efter ett intrång är att skapa ditt svar i farten”, säger Mark Nunnikhoven, vice vd för molnforskning på cybersäkerhetsleverantören Trend Micro. “En kritisk del av din svarsplan för beredskap är förberedelser. Viktiga kontakter ska kartläggas i förväg och lagras digitalt. Den bör också finnas i pappersform i händelse av ett katastrofalt intrång. När du svarar på ett intrång är det sista du behöver göra är att försöka lista ut vem som är ansvarig för vilka åtgärder och vem som kan auktorisera olika svar. “

Ermis Sfakiyanudis, VD och koncernchef för dataskyddsföretaget Trivalent, instämmer i detta synsätt. Han sa att det är avgörande att företag “inte freak out” efter att de har drabbats av ett brott. “Även om beredskap inför ett dataintrång kan orsaka irreparabla skador på ett företag, kan panik och desorganisering också vara extremt skadligt,” förklarade han. “Det är avgörande att ett brottat företag inte avviker från sin incidentplan, som bör innehålla identifiering av den misstänkta orsaken till incidenten som ett första steg. Till exempel orsakades intrånget av en framgångsrik ransomware-attack, skadlig kod på systemet, en brandvägg med en öppen port, föråldrad programvara eller oavsiktligt insiderhot? Isolera sedan det verkade systemet och utrota orsaken till intrånget för att säkerställa att ditt system är i fara. “

Sfakiyanudis sa att det är viktigt att företag ber om hjälp när de är över huvudet. “Om du fastställer att ett brott verkligen har inträffat efter din interna utredning, ta in expertis från tredje part för att hantera och mildra nedfallet”, sa han. “Detta inkluderar juridisk rådgivare, externa utredare som kan genomföra en grundlig rättsmedicinsk utredning och PR och kommunikationsexperter som kan skapa strategi och kommunicera till media för dina räkning.

“Med den här kombinerade experthandledningen kan organisationer förbli lugna genom kaoset och identifiera vilka sårbarheter som orsakade dataintrånget, avhjälpa så att problemet inte uppstår igen i framtiden, och se till att deras svar till berörda kunder är lämpligt och i rätt tid. De kan arbeta också med sin juridiska rådgivare för att avgöra om och när brottsbekämpning ska meddelas. “

2. Bli inte tyst

När du väl har attackerats är det tröstande att tro att ingen utanför din inre cirkel vet vad som just hände. Tyvärr är risken här inte värt belöningen. Du vill kommunicera med personal, leverantörer och kunder för att låta alla veta vad som har nåtts, vad du gjorde för att avhjälpa situationen och vilka planer du tänker ta för att säkerställa att inga liknande attacker inträffar i framtiden. “Ignorera inte dina egna anställda,” rekommenderade Heidi Shey, Senior Analyst of Security & Risk på Forrester Research. “Du måste kommunicera med dina anställda om evenemanget och ge vägledning för dina anställda om vad de ska göra eller säga om de frågade om överträdelsen.”

Shey, precis som Sfakiyanudis, sa att du kanske vill undersöka att anställa ett PR-team som hjälper till att kontrollera meddelandet bakom ditt svar. Detta gäller särskilt för stora och dyra dataintrång mot konsumenter. “Helst vill du att en sådan leverantör ska identifieras i förväg som en del av din plan för incidentrespons så att du kan vara redo att starta ditt svar”, förklarade hon.

Bara för att du är proaktiv för att meddela allmänheten att du har brutit mot, betyder det inte att du kan börja utfärda vilda uttalanden och proklamationer. Till exempel när lekmakaren VTech bröts, fick bilder av barn och chattloggar åtkomst av en hackare. Efter att situationen hade gått ner ändrade lekmakaren sina användarvillkor för att avstå från sitt ansvar i händelse av ett brott. Självfallet var kunderna inte nöjda. “Du vill inte se ut som om du gömmer dig bakom lagliga medel, oavsett om det är att undvika ansvar eller att kontrollera berättelsen”, säger Shey. “Bättre att ha en plan för krishantering och krishantering för att hjälpa till med kränkningsrelaterad kommunikation.”

3. Gör inte falska eller vilseledande uttalanden

Detta är uppenbart men du vill vara så korrekt och ärlig som möjligt när du vänder dig till allmänheten. Detta är fördelaktigt för ditt varumärke, men det är också fördelaktigt för hur mycket pengar du kommer att få tillbaka från din cyberförsäkring om du har en. “Ge inte ut offentliga uttalanden utan att ta hänsyn till konsekvenserna av vad du säger och hur du låter”, säger Nunnikoven.

“Var det verkligen ett” sofistikerat “attack? Att märka det som sådant gör det inte nödvändigtvis sant, fortsatte han. “Behöver din VD verkligen kalla detta en” terrorhandling “? Har du läst det finstilta av din cyberförsäkring för att förstå undantag?”

Nunnikhoven rekommenderar att man skapar meddelanden som är “nej-tjur, frekventa och som tydligt anger åtgärder som vidtas och de som behöver vidtas.” Att försöka snurra på situationen, sade han, tenderar att göra saker värre. “När användare hör om ett brott från en tredje part, urholkar det omedelbart hårt vunnit förtroende”, förklarade han. “Gå ut framför situationen och håll dig framför, med en stadig ström av kortfattad kommunikation i alla kanaler där du redan är aktiv.”

4. Kom ihåg kundtjänst

Om ditt dataintrång påverkar en onlinetjänst, dina kunders upplevelse eller någon annan aspekt av ditt företag som kan få kunder att skicka förfrågningar, se till att fokusera på detta som en separat och viktig fråga. Att ignorera dina kunders problem eller till och med öppet försöka förvandla deras otur till din vinst kan snabbt förvandla ett allvarligt dataintrång till en mardrömmande förlust av affärer och intäkter.

Med Equifax-överträdelsen som ett exempel sa företaget ursprungligen till kunderna att de kunde ha ett år med gratis kreditrapportering om de bara inte skulle stämma. Det försökte till och med göra om intrånget till ett vinstcentrum när det ville debitera kunder extra om de frågade om att deras rapporter skulle frysas. Det var ett misstag och det skadade företagets kundrelationer på lång sikt. Vad företaget borde ha gjort var att placera sina kunder först och helt enkelt erbjuda dem alla ovillkorlig rapportering, kanske till och med utan kostnad, under samma tidsperiod för att betona deras engagemang för att hålla kunderna säkra.

5. Stäng inte incidenter för tidigt

Du har stängt dina skadade slutpunkter. Du har kontaktat dina anställda och kunder. Du har återställt alla dina data. Molnen har delats och en solstråle har fallit på ditt skrivbord. Inte så fort. Även om det kan verka som om din kris har avslutats, vill du fortsätta att övervaka ditt nätverk aggressivt och proaktivt för att säkerställa att det inte finns några uppföljningsattacker.

“Det finns ett enormt tryck för att återställa tjänster och återhämta sig efter ett intrång”, säger Nunnikhoven. “Angripare rör sig snabbt genom nätverk när de har fått fotfäste, så det är svårt att göra en konkret bestämning om att du har tagit upp hela frågan. Att vara flitig och övervaka mer aggressivt är ett viktigt steg tills du är säker på att organisationen är i det tydliga . “

Sfakiyanudis instämmer i denna bedömning. ”När ett dataintrång har lösts och den vanliga affärsverksamheten återupptas, antar inte samma teknik och planer som du hade på plats före intrång är tillräckliga,” sade han. “Det finns luckor i din säkerhetsstrategi som utnyttjades och även efter att dessa luckor har åtgärdats betyder det inte att det inte kommer att finnas fler i framtiden. För att ta ett mer proaktivt tillvägagångssätt för dataskydd framåt, behandla din svarsplan för dataintrång som ett levande dokument. När individer byter roll och organisationen utvecklas via sammanslagningar, förvärv etc. måste planen också förändras. “

6. Glöm inte att utreda

”När du undersöker ett brott, dokumentera allt,” sa Sfakiyanudis. “Att samla in information om en incident är avgörande för att bekräfta att ett intrång inträffade, vilka system och data som påverkades och hur åtgärdande eller åtgärdande åtgärdades. Logga resultat av utredningar genom datainsamling och analys så att de är tillgängliga för granskning efter slakt.

“Var noga med att också intervjua alla inblandade och noggrant dokumentera deras svar”, fortsatte han. “Att skapa detaljerade rapporter med diskbilder, samt information om vem, vad, var och när incidenten inträffade, hjälper dig att genomföra nya eller saknade riskreducerande eller dataskyddsåtgärder.”

Sådana åtgärder är uppenbarligen för möjliga rättsliga konsekvenser efter det, men det är inte den enda anledningen till att utreda en attack. Att ta reda på vem som var ansvarig och vem som påverkades är nyckelkunskapen för advokaterna, och det bör verkligen undersökas. Men hur överträdelsen hände och vad som riktades är nyckelinformation för IT och din säkerhetspersonal. Vilken del av omkretsen behöver förbättras och vilka delar av dina data är (uppenbarligen) värdefulla för brunnar? Se till att du undersöker alla värdefulla vinklar för denna händelse och se till att dina utredare vet det redan från början.

Om ditt företag är för analogt för att kunna utföra denna analys på egen hand, kommer du förmodligen att anställa ett externt team för att genomföra denna undersökning åt dig (som Sfakiyanudis nämnde tidigare). Anteckna också sökprocessen. Observera vilka tjänster du erbjöds, vilka leverantörer du pratade med och om du var nöjd med utredningen. Denna information hjälper dig att avgöra om du ska hålla fast vid din leverantör, välja en ny leverantör eller anställa egen personal som kan genomföra dessa processer om ditt företag skulle ha turen att drabbas av ett andra intrång.