Najpierw ustal, co naprawdę wiadomo
Podejrzenie naruszenia danych nie jest jeszcze opisem jego skali. Nietypowy dostęp do systemu, zgubione urządzenie czy wiadomość wysłana do niewłaściwego odbiorcy mogą wymagać wyjaśnienia, ale na początku często nie wiadomo, czy dane zostały ujawnione, jakich osób dotyczą ani czy ktokolwiek je wykorzystał. Komunikat powinien zachować to rozróżnienie. Zamiast mówić, że „wyciekły dane klientów”, jeśli nie zostało to ustalone, lepiej nazwać wykryte zdarzenie i zakres potwierdzonych informacji.
Przed przygotowaniem treści zbierz w jednym miejscu odpowiedzi na kilka pytań: co zaobserwowano, kiedy organizacja to wykryła, jakie działania już podjęto, co nadal jest sprawdzane i kto zatwierdza kolejne ustalenia. Oznacz każdą informację jako potwierdzoną, weryfikowaną albo nieznaną. Taki prosty podział pomaga zespołowi nie zamieniać roboczych przypuszczeń w oficjalne zapewnienia. Osoby odpowiedzialne za bezpieczeństwo, komunikację i obsługę pytań powinny korzystać z tej samej, aktualizowanej wersji ustaleń.
Zdecyduj, kogo i w jakiej kolejności informować
Nie każda osoba zainteresowana potrzebuje identycznej wiadomości. Innego wyjaśnienia mogą oczekiwać osoby, których dane potencjalnie dotyczą, innego pracownicy odpowiadający na pytania, a jeszcze innego partnerzy współpracujący z organizacją. Najpierw ustal, komu można przekazać informację bezpośrednio i jakie pytania ta grupa prawdopodobnie zada: „Czy moje dane są objęte zdarzeniem?”, „Czy muszę coś zrobić?” oraz „Kiedy dowiem się więcej?”. Jeśli odpowiedzi jeszcze nie ma, powiedz to wprost.
Wybór kanału powinien uwzględniać zarówno możliwość dotarcia do odbiorcy, jak i ochronę jego prywatności. Wiadomość indywidualna pozwala przekazać informacje dotyczące konkretnej osoby, jeśli są potwierdzone. Strona z aktualizacjami może natomiast gromadzić wspólne ustalenia i ograniczyć rozbieżności między kolejnymi odpowiedziami. Nie publikuj list osób ani szczegółów, które mogłyby ułatwić dostęp do danych. Równolegle sprawdź z właściwymi specjalistami, jakie obowiązki związane ze zgłoszeniem lub zawiadomieniem mogą mieć zastosowanie; ogólny komunikat nie zastępuje takiej oceny.
Zbuduj pierwszy komunikat z faktów, działań i niewiadomych
Pierwsza wiadomość nie musi rozstrzygać całej sprawy. Powinna jednak wyjaśniać, dlaczego organizacja się odzywa, co potwierdzono, co jest sprawdzane oraz kiedy lub w jaki sposób pojawi się kolejna informacja. Pomocny układ to: opis zdarzenia, możliwy związek z odbiorcą, podjęte działania, obecny stan wiedzy, ewentualne kroki dla odbiorcy i miejsce zadawania pytań. Nie obiecuj, że dane są bezpieczne, dopóki nie ma podstaw do takiego stwierdzenia. Nie przerzucaj też odpowiedzialności na odbiorcę za brak ustaleń po stronie organizacji.
Przykładowy szablon do dostosowania, gdy potwierdzono incydent wymagający sprawdzenia, ale nie ustalono jeszcze, czy dotyczy danych adresata: „Sprawdzamy zdarzenie związane z dostępem do naszego systemu. Na tę chwilę nie potwierdziliśmy, czy objęło ono Pani/Pana dane. Ograniczyliśmy dostęp wymagający weryfikacji i analizujemy zakres zdarzenia. Kolejną informację przekażemy przez [kanał] [termin lub sposób ustalenia terminu]. Pytania można kierować do [punkt kontaktowy]”. Pola w nawiasach trzeba uzupełnić przed wysłaniem, a opis działań pozostawić tylko wtedy, gdy rzeczywiście zostały wykonane.
Podawaj zalecenia tylko wtedy, gdy mają sens w danym przypadku
Odbiorcy mogą potrzebować konkretnych wskazówek, ale ogólna lista alarmujących poleceń nie zawsze pomaga. Jeśli istnieje uzasadnione podejrzenie przejęcia danych logowania, można wyjaśnić, których kont dotyczy zalecana zmiana hasła i jak bezpiecznie ją przeprowadzić. Jeśli nie wiadomo jeszcze, jakie dane mogły zostać objęte zdarzeniem, nie przedstawiaj każdego możliwego zagrożenia jako prawdopodobnego skutku. Oddziel czynności, które organizacja już wykonuje, od działań proponowanych odbiorcy.
Wskazówki powinny być zrozumiałe bez wiedzy technicznej i dostępne przez wiarygodny kanał. Jeśli wiadomość zawiera odsyłacz lub prośbę o kontakt, odbiorca powinien móc niezależnie sprawdzić, że pochodzi ona od organizacji. Nie proś w odpowiedzi na komunikat o przesyłanie haseł, pełnych numerów dokumentów ani innych danych, które nie są potrzebne do obsługi sprawy. Osobom pytającym o indywidualny status daj jasną drogę kontaktu, lecz nie obiecuj odpowiedzi, której zespół nie potrafi jeszcze udzielić.
Aktualizuj informacje, także gdy ustalenia są niepełne
Po pierwszym komunikacie wyznacz osobę lub zespół odpowiedzialny za aktualizacje. Każda kolejna wiadomość powinna pokazywać, co zmieniło się od poprzedniej: jakie fakty potwierdzono, co wykluczono, jakie pytania pozostają otwarte i czy zalecenia dla odbiorców są inne. Jeśli termin podania pełnych ustaleń jest niepewny, zapowiedz moment następnej aktualizacji zamiast terminu zakończenia całej analizy. Dotrzymanie zapowiedzianego kontaktu jest ważne również wtedy, gdy nie ma jeszcze ostatecznej odpowiedzi.
Warto zachować historię komunikatów i poprawiać wcześniejsze stwierdzenia wprost, zamiast po cichu je zastępować. Proste zdanie „W poprzedniej informacji podaliśmy X; po weryfikacji ustaliliśmy Y” pomaga odbiorcom zrozumieć zmianę. Po zakończeniu sprawdzania podsumuj wynik w granicach tego, co można potwierdzić, oraz wskaż, czy odbiorcy muszą podjąć dalsze kroki. Rzetelna komunikacja nie wymaga wiedzy od pierwszej chwili. Wymaga konsekwentnego odróżniania wiedzy od przypuszczeń.
