Wyciek danych: komunikacja kryzysowa

Wyciek danych komunikacja to dwa problemy naraz: techniczny i zaufania. Gdy zespół bezpieczeństwa zamyka lukę, zarząd musi zdecydować, co powie klientom, pracownikom, mediom i organowi nadzorczemu. W tym artykule pokazujemy, jak poukładać te rozmowy w czasie, kto za co odpowiada i jak nie pogorszyć sytuacji jednym niedopowiedzianym zdaniem.

Czas czytania: 9 min · Kryzys w sieci i mediach · Commplace® od 1996 roku

Wyciek danych a komunikacja: dlaczego to zadanie dla zarządu, a nie tylko dla działu IT

Wyciek danych, w języku ochrony danych naruszenie ochrony danych osobowych, oznacza, że informacje o osobach wpadły w niepowołane ręce, zostały utracone albo zmienione bez upoważnienia. Dział IT zajmuje się przyczyną i zabezpieczeniem systemów. Jednak o tym, jak firma zostanie zapamiętana po takim zdarzeniu, decyduje komunikacja: czy klienci dowiedzą się o sprawie od firmy, czy z artykułu, czy komunikat jest zrozumiały, i czy firma bierze odpowiedzialność, czy szuka winnego.

Dlatego sprawa trafia do zarządu, a nie tylko do administratora systemów. Trzeba połączyć cztery światy: technikę (co dokładnie wyciekło), prawo (jakie obowiązki wynikają z przepisów), komunikację (co, komu i kiedy powiedzieć) oraz operacje (kto obsłuży telefony i wiadomości od poszkodowanych). Bez wspólnego stołu każdy zespół działa w swoim tempie, a klient dostaje trzy różne informacje z trzech kanałów.

Pierwsze godziny po wycieku danych: fakty, właściciel i zakaz spekulacji

W pierwszych godzinach wiadomo mało, a presja na komunikat jest ogromna. Najgorsze, co można zrobić, to zgadywać. Komunikat, który podaje zakres wycieku i okazuje się później zaniżony, kosztuje więcej niż komunikat, który uczciwie mówi: wiemy tyle, badamy resztę i wrócimy z informacją. Dlatego pierwszym krokiem jest powołanie osoby odpowiedzialnej za całość sprawy oraz ustalenie jednego źródła prawdy dla faktów.

Zespół powinien szybko odpowiedzieć na kilka pytań: jakie kategorie danych są objęte, czyich osób dotyczy zdarzenie, czy dane były zaszyfrowane, czy luka jest zamknięta i skąd wiadomo, że jest zamknięta. Do czasu odpowiedzi wszyscy poza zespołem kryzysowym mają jasną instrukcję: nie komentujemy, nie zgadujemy, kierujemy pytania do wyznaczonej osoby. Sposób składu takiego zespołu opisujemy w artykule o tym, jak działa crisis team.

1. Wyznacz właściciela sprawy i zastępcę, oraz jeden kanał wewnętrzny dla faktów.
2. Zabezpiecz dowody i zapisz oś czasu: kiedy wykryto, kiedy zamknięto, kto wiedział.
3. Ustal wstępny zakres: jakie dane, czyje, ile osób, czy dane były chronione.
4. Powiadom prawnika i inspektora ochrony danych, jeśli firma go ma.
5. Wstrzymaj zewnętrzne wypowiedzi do czasu zatwierdzenia komunikatu.
6. Przygotuj obsługę pytań: skrypt dla infolinii i skrzynki kontaktowej.

Obowiązki wobec organu nadzorczego i osób, których dane dotyczą

Przepisy o ochronie danych osobowych (RODO, czyli europejskie rozporządzenie o ochronie danych) nakładają na administratora obowiązki w razie naruszenia. Według art. 33 RODO administrator co do zasady zgłasza naruszenie organowi nadzorczemu w ciągu 72 godzin od stwierdzenia naruszenia, jeżeli może ono skutkować ryzykiem naruszenia praw lub wolności osób. Art. 34 dotyczy zawiadamiania samych osób, gdy ryzyko jest wysokie. Interpretacja tych przepisów w konkretnej sprawie należy do prawnika, więc sprawdź z prawnikiem zakres i termin.

Z punktu widzenia komunikacji ważne jest jedno: zgłoszenie do organu i komunikat do klientów to dwa dokumenty, które muszą być ze sobą zgodne. Jeśli w zgłoszeniu opisano zakres wycieku inaczej niż w wiadomości do klientów, powstaje trudna do wytłumaczenia rozbieżność. Dlatego jedna osoba czyta oba teksty obok siebie, zanim którykolwiek wyjdzie.

Co powinien zawierać komunikat o wycieku danych do klientów

Dobry komunikat do osób poszkodowanych jest krótki, konkretny i napisany zwykłym językiem. Zaczyna od tego, co się stało, dla osób, które nie znają się na informatyce. Następnie wyjaśnia, jakich danych dotyczy zdarzenie, bez wyliczania techniki, na której czytelnik się nie zna. Trzeci element to działania firmy: co zrobiono, żeby zatrzymać zdarzenie i chronić osoby. Czwarty, najważniejszy, to instrukcja dla odbiorcy: na co uważać, co zmienić, gdzie się zgłosić.

Ton komunikatu jest równie ważny jak treść. Odpowiedzialność nazwana wprost buduje zaufanie, a zdania typu „dołożyliśmy wszelkich starań” bez pokrycia budzą irytację. Przeprosiny mają sens tylko wtedy, gdy wynikają z faktów i idą w parze z konkretnym działaniem. Zasady formułowania przeprosin omawiamy w tekście o tym, kiedy i jak firma powinna przepraszać.

• co się stało, opisane jednym prostym zdaniem
• jakich danych dotyczy zdarzenie, a jakich nie
• od kiedy i jak długo trwał problem, jeśli już to wiadomo
• co firma zrobiła i robi, żeby zatrzymać skutki
• co powinien zrobić odbiorca, krok po kroku
• gdzie uzyskać pomoc: kontakt, który naprawdę odbiera

Oś czasu komunikacji po wycieku danych

Wielu zarządów zaskakuje, że komunikacja po wycieku nie kończy się na jednym oświadczeniu. To sekwencja, którą warto zaplanować z góry, żeby każdy adresat dostał informację we właściwym momencie i we właściwej formie. Poniższa tabela pokazuje typowy porządek, oczywiście do dostosowania do sprawy i do wskazówek prawnika.

Dobrze jest przećwiczyć taką sytuację przed wystąpieniem zdarzenia. Zespół, który raz przeszedł całą ścieżkę na sucho, od pierwszego sygnału po opublikowanie komunikatu, wie, gdzie są dokumenty, kto ma uprawnienia i ile czasu zajmuje każdy krok. Ćwiczenie ujawnia też brakujące elementy: nieaktualną listę kontaktów, brak zastępcy dla prezesa albo niejasną odpowiedzialność za infolinię. To tanie odkrycia w porównaniu z tymi, które wychodzą na jaw dopiero w prawdziwym incydencie.

Komunikacja z pracownikami, partnerami i mediami w trakcie wycieku danych

Pracownicy dowiadują się o wycieku zwykle szybciej, niż zarząd chciałby, więc informacja wewnętrzna powinna wyjść przed publiczną albo razem z nią. Ludzie z obsługi klienta muszą wiedzieć, co powiedzieć, gdy zadzwoni poszkodowany, i komu przekazać trudną sprawę. Ci, którzy nie mają dostępu do faktów, powinni dostać jasne zdanie: nie komentujemy i odsyłamy do wskazanej osoby. Rozmowa z zespołem to osobny wątek, który rozwijamy w artykule o Communication with employees in a crisis.

Partnerzy i kontrahenci, których dane mogły być objęte wyciekiem lub którzy zależą od zabezpieczeń Twojej firmy, powinni usłyszeć o sprawie bezpośrednio od Ciebie. Media natomiast otrzymują krótkie, spójne stanowisko z jedną osobą do kontaktu. Nie komentuj przyczyn, dopóki ich nie znasz, i nie przerzucaj odpowiedzialności na dostawcę, nawet jeśli to on zawinił: klient nie widzi łańcucha podwykonawców, widzi Twoją markę. Zasady pracy z dziennikarzami zebraliśmy w tekście o relacjach z mediami w kryzysie.

Najczęstsze błędy komunikacji po wycieku danych

Z doświadczenia kilku typowych błędów można uniknąć, jeśli znamy je z góry. Pierwszy to zwłoka: firma czeka na komplet informacji, a dziennikarz, badacz bezpieczeństwa lub sam sprawca publikuje sprawę wcześniej. Drugi to zaniżanie skali, które wychodzi na jaw w kolejnych dniach i niszczy wiarygodność. Trzeci to język prawniczy i techniczny, którego poszkodowany nie rozumie. Czwarty to brak realnej pomocy: komunikat wzywa do ostrożności, ale nie podaje kanału, w którym da się zadać pytanie.

Piąty błąd, najgroźniejszy dla zaufania, to zmiana wersji. Jeśli oświadczenie mówi coś innego niż wiadomość do klientów albo niż odpowiedź infolinii, ludzie uznają, że firma coś ukrywa. Jedna osoba odpowiedzialna za spójność i jedna baza zatwierdzonych sformułowań rozwiązują większość tego problemu. To dokładnie ten obszar, który porządkuje crisis communication prowadzona według stałych zasad.

Po wycieku danych: odbudowa zaufania i lekcje dla firmy

Zamknięcie sprawy nie kończy zadania. Klienci i partnerzy będą obserwować, czy firma zrobiła coś realnego: czy wzmocniła zabezpieczenia, czy zmieniła procedury, czy komunikuje zmiany. Opisanie tych kroków w prosty sposób, na przykład w podsumowaniu opublikowanym po kilku tygodniach, pomaga zamknąć temat na własnych warunkach. Pomaga też rozmowa z kluczowymi klientami bezpośrednio, bo tam, gdzie relacja jest ważna, komunikat masowy nie wystarcza.

Ostatni element to lekcja dla organizacji. Warto zrobić przegląd po zdarzeniu: co zadziałało, co zawiodło, ile czasu zajęło każdemu zespołowi przejście od wykrycia do decyzji i gdzie powstały luki w przepływie informacji. Wnioski wpisz do planu i przećwicz na następnej symulacji. Pamiętaj też, że wyciek szybko trafia do sieci, więc przydaje się plan reakcji na kryzys w social mediach. W takiej sytuacji z Nawigatorem robi się diagnozę, plan, wdrożenie i kontrolę, a koszt bezczynności to utrata zaufania, którą trudno cofnąć. Następny krok to rozmowa o gotowości Twojej firmy. Odbudowę wizerunku omawiamy szerzej w artykule o rebuilding reputation after the crisis. Nie obiecuj, że coś już się nie powtórzy, obiecuj to, co możesz udowodnić.

Source: compilation by Commplace®. Examples and animations are illustrative; they do not constitute legal advice or guarantees of results. The increase in the indicator after the action itself does not prove that the action caused it.