与受影响客户的沟通 | Decripte Security

在影响客户的事件期间，透明、富有同理心且及时的沟通 对于维护信任以及履行监管和合同义务至关重要。

沟通的重要性

安全事件考验着与客户的关系。执行不当的沟通 可能造成持久的声誉损害，而适当的透明度则可以 在危机期间也增强信任。

客户重视诚实与迅速。通过媒体或 第三方而非直接从公司获知事件，会不可挽回地侵蚀信任。

何时沟通

直接影响：如果客户数据遭到泄露或被访问， 通知是必须的——无论是在法律上（LGPD）还是道德上。

服务中断：影响客户运营的停机需要 立即沟通，并提供恢复的 ETA。

潜在暴露：即使未确认数据被访问，如果存在 合理的可能性，主动沟通也能体现责任感。

合同义务：SLA 和企业合同经常 规定通知义务——应严格审查并履行。

沟通时机

初步通知：一旦了解初步范围即应沟通， 即便信息有限。就不确定性保持透明胜过沉默。

定期更新：建立更新的节奏（例如每日），即使 没有重大变化。沉默会产生焦虑和猜测。

最终沟通：解决后，提供包含时间线、根本 原因、所采取措施和已实施改进的完整摘要。

沟通内容

发生了什么：对事件的事实性描述，避免过多技术 术语。客户希望以简单的方式理解。

哪些数据受到影响：明确说明哪些类型的数据 已经或可能已经遭到泄露。具体明确有助于客户评估个人风险。

何时发生：事件的时间线——何时被检测到，估计的 暴露窗口。

我们正在做什么：遏制、调查、补救措施。 展示掌控力和能力。

客户应该做什么：切实可行的建议——更改密码、 监控账户、警惕 phishing、可用的支持资源。

联系点：用于咨询的专用渠道——电子邮件、电话、门户。 确保具备应对预期咨询量的能力。

语气与语言

同理心：承认合理的担忧以及所造成的不便。 “我们理解这种情况会引起担忧……”

担责：承担责任，不使用回避的措辞。“我们 未能……”而非“发生了错误”。

清晰：避免技术术语。如果必须使用技术术语， 应以易于理解的语言加以解释。

诚实：就已知的和仍在调查的内容保持透明。 承认不确定性比过早下定论更能赢得可信度。

沟通渠道

直接电子邮件：用于 B2B 客户或数据遭泄露的情况。 尽可能个性化，至少按影响严重程度进行细分。

状态门户：专用的事件状态页面，可 公开访问或供登录客户访问。定期更新。

In-App Notification：应用或仪表板内的通知，以实现 即时可见性。

Website Banner：对于高影响事件，在企业 网站上设置醒目的横幅，链接至详细信息。

Social Media：Twitter、LinkedIn 用于广泛触达和公开 透明。需要与公关进行细致协调。

受众细分

Tier 1 - 直接受影响者：数据已被确认 泄露的客户。更详细的沟通，优先支持。

Tier 2 - 可能受影响者：处于受影响系统范围内 但未确认遭泄露的客户。预防性沟通。

Tier 3 - 一般群体：未直接受影响但出于 透明应予告知的客户。更一般性的沟通。

客户支持

准备就绪的呼叫中心：在通知客户之前，就事件、FAQs 和 升级路径对支持团队进行培训。

Self-Service Resources：详细的 FAQ、推荐操作的 分步指南、说明视频。

扩展的容量：预期联系量增加而扩充支持 人员。必要时考虑临时外包。

Priority Support：为企业客户或受影响最严重者提供快速通道。

补偿与举措

Credit Monitoring：对于个人数据泄露，提供免费的 信用监控（12-24 个月）。

Service Credits：对于重大停机，提供服务积分或 订阅延期。

Enhanced Security：加速实施额外的安全 功能（MFA、高级警报），且不收取费用。

Identity Protection：为严重情况提供身份保护服务。

法律方面

法律审查：所有对外沟通在发送前都应由 法务部门审查，以管理诉讼风险。

谨慎承认：陈述事实，但不做出可能在诉讼中被使用的 关于疏忽或责任的宽泛承认。

合规于法规：LGPD、GDPR 以及行业法规具有 特定的通知要求——确保合规。

期望管理

切合实际的时间线：不要在压力下承诺无法实现的 ETA。宁可 高估并提前交付，也不要低估而令人失望。

就不确定性保持透明：“仍在调查 X”胜过 猜测或提供需要更正的错误信息。

承认影响：认可客户的沮丧和担忧，不要 防御性回应。

事件后沟通

公开的 Post-Mortem：考虑发布详细的事后分析 （在尊重适当保密的前提下），以展示透明度和学习态度。

已实施的改进：具体沟通已实施哪些 改进以防止再次发生。

跟进：数月后进行跟进，以展示对安全的 持续承诺。

成功指标

Churn Rate：事件后取消的客户百分比，相对于 正常基线。

NPS/CSAT：对客户满意度评分的影响。

Support Volume：支持工单量和平均解决时间。

Media Sentiment：社交媒体和新闻 报道中的情感分析。

准备好的模板

提前为不同的严重程度和事件类型准备模板：

Data Breach：针对个人数据暴露的专用模板， 包含 LGPD 要求的所有要素。

Service Outage：针对停机的模板，侧重于就 原因和 ETA 保持透明。

Ransomware：在透明度与同攻击者 谈判的考量之间取得平衡的模板。