Wenn Sie glauben, ein Ransomware-Angriff sei das Schlimmste, was Ihrem Unternehmen passieren kann, muss ich Ihnen leider sagen: Das ist erst der Anfang.
Verstehen Sie mich nicht falsch – ein Angriff ist schrecklich. Aber nach einem Angriff sind Sie so etwas wie eine verwundete Gazelle, um die sich die Raubtiere scharen. Auch wenn Sie vielleicht nicht für den Angriff selbst verantwortlich sind: Wenn Sie die Recovery, die regulatorischen Anforderungen und die Kommunikation falsch handhaben, drohen IhnenGeldstrafen und Klagen. Und als ob das noch nicht genug wäre: Angreifer, Wettbewerber und sogar potenzielle Übernehmer und Aktivisten könnten die Gelegenheit nutzen, um zuzuschlagen.
Aus diesem Grund bin ich als Chief Legal and Compliance Officer und unabhängiges Vorstandsmitglied der Überzeugung, dass Sie einen bewährten, in der Praxis erprobten Datenschutzplan benötigen, lange bevor Ihre Daten gefährdet sind. Um Ihnen dabei zu helfen, finden Sie hier vier Schritte, die ich bei der Einschätzung und Bewältigung eines Angriffs unternehmen würde:
#1 Secure your Perimeter. At the first sign of an attack, you need to slam the door shut, stop the bleeding.CrowdStrike schätzt,that an attack window is 84 minutes. That’s how long you have before data is bricked, exfiltrated, or destroyed. You don’t have time to debate and the moment you need to close all entry and access points to your business, a ransomware attack cannot be first time you bring the cross-functional team of IT, Security, Legal and others together. You need to be a well-oiled machine and act fast. Practice this like a drill. Know what assets you have, what they access – and be prepared to shut it all down.
#2 Assess the Damage. Once the perimeter is secure, you must assess the damage. What data was exposed or taken? What damage was done? What is your contractual obligation for maintaining and protecting customer or constituent data? How does this impact you in terms of industry, state, federal, and international regulations? There are more disclosure requirements on the horizon and as PwC recently noted its„Global Digital Trust Insights 2023“feststellte, „sind nur 9 % der Befragten sehr zuversichtlich, dass sie alle Offenlegungspflichten effektiv erfüllen können.“ Je früher Ihr Team in den Planungs-, Bewertungs- und Behebungsprozess eingebunden wird, desto besser.
#3 Were you a victim or negligent? Did you leave the perimeter unsecured? Did you have loose access or security controls? Do you have a data protection plan in place? When was your last tabletop exercise or system tests? Were the right controls in place to prevent (or quickly detect) the attack? Do you have cybersecurity awareness training in place for employees so they’ve learned how to identify phishing attempts? Customers expect that when they give you their data, you will protect it. Having a data protection plan or solution in place is the cost of doing business. Without it, you are not a victim.
#4 Communicate. Communicate. Communicate. Be transparent with your critical stakeholders. The speed in which you disclose can be a delicate balance because you’re still assessing the impact, identifying the root cause, and remediating. Clearly, your CEO and C-Suite leaders need to know as soon as possible and you’ll alert your Board of Directors. But the most important people you need to communicate with are those impacted by the breach, such as your customers, partners, or employees. You need to notify them as soon as possible.
Bottom line: The attackers are on the horizon, they get smarter everyday and time is not your friend. These steps will help you detect and recover quicker from an attack and will give you the confidence that you have taken responsible, informed steps to protect your data.
