Комуникациите при кибер-пробив могат да се превърнат в скъпоструващо доказателство, което прави дисциплинираното документиране и практиките за защита на личните данни от съществено значение от първия ден.
Първите 24 часа след кибер-инцидент са време на обърканост. Екипите действат бързо и много неща се казват в Slack или в имейли, които могат да се появят по-късно. Хората се надпреварват да овладеят проблема, да разберат какво се е случило и да продължат напред. В процеса те създават запис, който не винаги е благоприятен… след време в съда.
Нож с две остриета
Месеци, а понякога и години по-късно, когато прахът се слегне, CISO често откриват, че тези ранни комуникации са нож с две остриета в съдебни спорове или при разследвания. Това, което вашият екип е документирал и начинът, по който е казано, може да хвърля сянка надалеч – и да има по-катастрофални финансови последици от самата атака.
Лесно е да се види как се случва това. Инстинктът, след като научите, че сте били пробити, е да действате бързо. Обаждате се. Изпращате съобщение в Slack. Свързвате се с адвокатите. Започвате да ровите какво се е случило.
Но често пъти съдебните спорове около кибер-пробиви не зависят само от това, което се е случило. Зависят и от това какво сте документирали и какво сте казали, когато „онова“ се е случвало.
Проблемът е, че комуникациите, генерирани в тези първи хаотични часове, често се превръщат в доказателство в съдебни спорове, регулаторни разследвания и правоприлагащи дейности. Много организации действат под сянката на опасна илюзия: ако правният отдел е бил на копие в съобщението, това прави съобщението защитено. Не е така.
Адвокатско-клиентската тайна и защитата на работния продукт са реални, но не са панацея. Съдилищата, оценяващи искове за привилегии в кибер-дела, не се интересуват дали правният отдел е бил на копие в кореспонденцията. Те трябва да видят дали основната цел на комуникацията е била получаване или предоставяне на правен съвет.
Техническо резюме на това как нападателят се е движил през мрежата, хронология на това какво е било закърпено и кога или доклад за инцидент, документиращ какво е открил екипът по сигурността, често се създават по оперативни причини.
Но когато нещата опрат до везната на Темида, съдилищата все по-често разглеждат точно тези въпроси: създадена ли е комуникацията за правен съвет или е обикновена бизнес документация, която е преминала през ръцете на юристите?
Къде е счупването
Когато се случи кибер-инцидент, хаосът е нормално нещо. Екипите по сигурността трябва да се справят с крайни срокове за ограничаване на щетите, имат кратки времеви рамки за задължителните регулаторни уведомления, правят ескалации до ръководството и изобщо имат стотици други приоритети, никой от които не може да чака.
Това е стресираща среда и хората са склонни да правят предположения или да бъдат прекалено откровени в различните канали, независимо дали става въпрос за Slack, Teams или имейли.
Коментари като тези по-долу създават най-вредните доказателства, когато се появят при разкриване на информация и станат веществени доказателства в съдебен процес:
- „Трябваше да поправим това преди шест месеца“
- „Никой не приема това сериозно“
- „Знаехме, че това е риск“
Ако вашият отговор на инцидента се случва в Slack канал с 40 души, в който присъстват и юристи, то вие създавате запис, в който после съдът може да търси информация. Много ръководители и екипи по сигурността работят с погрешното схващане, че добавянето на адвоката към Slack канал, специфичен за инцидента, или добавянето на знак за тайна между клиент и адвокат към заглавието на канала означава, че всеки разговор в този канал е защитен. Не е.
Чат-канал с десетки участници не се счита за преднамерено адресиран до правения отдел. Колкото повече хора има в канала, толкова повече това твърдение не може да издържи. Ако комбинирате дискусии за правната стратегия с оперативни дискусии, фокусът съвсем се изгубва.
Съдилищата също така не се ограничават до разкриването на информация от текущия инцидент. Адвокатът на отсрещната страна може да поиска документация от предишни инциденти. Това включва как организацията се е справила с въпросните събития, какво е било казано и какви процеси са съществували.
Стандартът трябва да се прилага за всеки инцидент, включително и за тези, които никога не са станали публични. В противен случай уязвимостта е безспорна.
Проблемът с AI, който никой все още не е разбрал
Ако вашият инструмент с изкуствен интелект се обучава върху данните от инцидента, може би вече сте се отказали от привилегированата комуникация. Съдилищата едва сега започват да разглеждат въпроса дали генерираните от изкуствен интелект комуникации носят защитата на привилегията, а съдебната практика остава оскъдна.
Има някои предупредителни знаци. Ранните решения показват, че използването на потребителски инструменти с изкуствен интелект, в които доставчикът може да обучава своя AI върху потребителските данни, създава проблем, тъй като съдилищата са склонни да гледат неблагоприятно на искове за привилегии, когато информацията е била споделена с външни страни.
Корпоративните инструменти, използващи изкуствен интелект, трябва да бъдат проектирани така, че да гарантират поверителност, за да имат най-голяма вероятност за запазване на правната привилегия.
Записвачите с изкуствен интелект са друга сива зона. Дали автоматизиран инструмент за транскрипция променя нивото на привилегия в среща, на която присъства адвокат? Все още не знаем, но има някои индикации.
А дали изкуственият интелект е страна по инцидента? Вероятно не, но това зависи от защитите за поверителност и начина, по който е проектиран инструментът. Ако няма защити за поверителност, сбогом на привилегиите.
След това идва въпросът кой има достъп до съдържанието, генерирано от изкуствения интелект? Ако става въпрос за непривилегирована група, привилегиите също може да изчезнат.
Трябва да помислим за всичко това, без дори да споменаваме изискването юрист да участва в комуникацията. Има твърде много фактори, които играят роля.
