Komunikacja kryzysowa po ataku

We współpracy z Hewlett Packard Enterprise Security Services i FireEye Inc.

Oto coraz częstszy scenariusz: jesteś liderem biznesowym lub informatycznym i dowiadujesz się – prawdopodobnie ze źródeł spoza Twojej firmy – że cyberprzestępcy naruszyli systemy Twojej organizacji. Nie wiesz jeszcze, z jak poważnym naruszeniem masz do czynienia, ale najwyraźniej nadszedł czas, aby aktywować swój plan komunikacji kryzysowej.

Tyle że nie masz planu. Albo masz jeden, ale nie obejmuje kryzysów cyberbezpieczeństwa.

W obu przypadkach nie jesteś sam. Eksperci ds. bezpieczeństwa twierdzą, że nawet najbardziej świadome bezpieczeństwa organizacje są często żałośnie nieprzygotowane, jeśli chodzi o komunikację z wewnętrznymi i zewnętrznymi interesariuszami podczas cyberataków i po nich – a to sprawia, że ​​w sytuacjach kryzysowych starają się odzyskać kontrolę. Dzieje się tak zazwyczaj dlatego, że nie wykonali wystarczająco dużo pracy zanim naruszenie.

„Największym błędem, jaki popełniają firmy, jest brak planu komunikacji kryzysowej”, mówi Vitor De Souza, wiceprezes ds. komunikacji globalnej w FireEye Inc., wiodącej globalnej firmie zajmującej się cyberbezpieczeństwem. Obserwacje De Souzy są poparte badaniem z lutego 2016 r. przeprowadzonym przez MIT Technology Review Custom we współpracy z FireEye i Hewlett Packard Enterprise (HPE) Security Services. Czterdzieści cztery procent z 225 ankietowanych liderów biznesu i IT stwierdziło, że ich organizacje nie mają planów komunikacji kryzysowej w zakresie cyberbezpieczeństwa; kolejne 15 proc. nie wiedziało, czy ma takie plany.

Podobny błąd: poleganie na planie komunikacji kryzysowej, który koncentruje się na innych rodzajach sytuacji kryzysowych – pożarach, awariach zasilania, klęskach żywiołowych. Ten rodzaj planu nie będzie dotyczył sposobu komunikowania się o problemach charakterystycznych dla naruszeń bezpieczeństwa informacji, takich jak możliwy dostęp cyberprzestępców do informacji umożliwiających identyfikację osób lub własności intelektualnej firmy.

Wideo: Komunikacja kryzysowa po ataku

Cyberataki są trudniejsze do radzenia sobie niż pożary i są znacznie trudniejsze do omówienia z opinią publiczną. „Jeśli w budynku wybuchnie pożar, istnieje jedno lub dwa wyjścia, ale w cyberprzestrzeni istnieje wiele różnych scenariuszy. Musisz wiedzieć, z czym możesz się zmierzyć, mówi De Souza.

Jako jednostki w organizacji, jeśli poczujemy dym lub zobaczymy pożar, czujemy się upoważnieni do uruchomienia alarmu – mówi Andrzej Kawalec, CTO HPE Security Services. Alarm pożarowy uruchamia plany reagowania kryzysowego i komunikacji kryzysowej w dość prosty sposób, ale, jak mówi Kawalec, nie dzieje się tak w przypadku incydentów cyberbezpieczeństwa z dwóch powodów.

Wyniki ankiety

• Wyzwania, zagrożenia, trendy i skutki w zakresie cyberbezpieczeństwa

  Wyprodukowane przez MIT Technology Review Custom we współpracy z Hewlett Packard Enterprise Security Services i FireEye Inc.

Po pierwsze, naruszenia są często zgłaszane jako pierwsze przez osoby z zewnątrz, zaskakując organizacje. W 2015 r. 53 procent incydentów obsługiwanych przez Mandiant, firmę FireEye, zostało po raz pierwszy zwrócone na uwagę firm przez zewnętrzne źródła, takie jak klienci, partnerzy, funkcjonariusze organów ścigania, dziennikarze lub sami napastnicy. Od razu znajdują się w bardzo reaktywnej sytuacji, z dużym stopniem niepewności, zauważa Kawalec.

Po drugie, naruszenia często występują przez długi czas. Według raportu Mandiant mediana czasu spędzonego przez adwersarzy klientów Mandiant przed wykryciem w 2015 r. wyniosła 146 dni. M-Trendy 2016 . Jeśli znajdziesz to w piątym dniu, w tym czasie można zrobić tylko tyle szkód, mówi Kawalec. Ale czasami naruszenia nie są wykrywane przez miesiące, a nawet lata. Długie opóźnienia w wykryciu sprawiają, że kryzys jest znacznie trudniejszy do opanowania – i wyjaśnienia różnym odbiorcom, których to dotyczy. Pytania zadawane po naruszeniu — na przykład, dlaczego wykrycie naruszenia trwało tak długo i dlaczego w ogóle do niego doszło — mogą być znacznie bardziej szkodliwe dla reputacji firmy niż pytania zadawane zwykle po pożarze lub inna klęska żywiołowa.

Mimo to Kawalec i inni eksperci twierdzą, że informowanie interesariuszy o naruszeniu ma kluczowe znaczenie. Najgorsze są plotki i domysły, mówi Kawalec. Stwórz ramy do uczciwego i rzetelnego odpowiadania na pytania. Przejrzyj, co robisz i czego nie wiesz.

Komunikuj się w sposób ciągły — i to z góry

Chris Leach, główny technolog w HPE Security Services i były dyrektor ds. bezpieczeństwa informacji (CISO) w dużej korporacji, zgadza się z tym. Komunikuj się z ludźmi w górę iw dół oraz komunikuj się w sposób ciągły, zaleca. Uwzględnij to, co wiesz, aby wzbudzić pewność, że jako firma zajmujesz się problemem i chronisz informacje. Jeśli to możliwe, zobowiąż się do działania: na przykład powiedz „rozwiążemy ten problem do” — a następnie wypełnij puste miejsce. Obiecuj aktualizacje, gdy pojawi się więcej informacji do udostępnienia.

Jednak Leach zaleca udostępnianie informacji na zasadzie „potrzebnej wiedzy”: zazwyczaj nie przekazujemy wszystkich szczegółów naruszenia wszystkim pracownikom, mówi. Udostępnimy tylko tyle, aby upewnić się, że są pewni, że sobie z tym radzimy i że są to informacje, które mogą i powinni udostępnić swoim klientom.

Jednocześnie ważne jest, aby odpowiedzieć na obawy pracowników dotyczące tego, czy ich dane osobowe zostały naruszone, mówi Kawalec. Pracodawcy zazwyczaj przechowują wrażliwe dane dotyczące pracowników: wynagrodzenie, adres, doświadczenie zawodowe, dokumentację dotyczącą wyników pracy i inne dane osobowe. Z tego powodu, mówi Kawalec, Twoi pracownicy muszą mieć poczucie, że komunikujesz się z nimi i rozumieją, co się stało.

Wszyscy trzej eksperci podkreślają znaczenie zaangażowania najwyższego kierownictwa firmy w plan komunikacji kryzysowej nie tylko podczas cyberataku, ale także na długo przed. De Souza mówi, że naruszenie nie jest problemem IT. To problem biznesowy. Kierownictwo musi być praktyczne. Przygotuj je. Kiedy to zrobisz, masz partnera, sojusznika, który poradzi sobie z wyzwaniem.

Ponadto inteligentne organizacje podejmujące podróż po transformacji cyfrowej postrzegają swój plan komunikacji kryzysowej w zakresie cyberbezpieczeństwa jako nieustanną pracę w toku, aktualizując go, aby odzwierciedlał niekończącą się ewolucję nowych zagrożeń. Jeden z przykładów pojawiającego się zagrożenia: oprogramowanie ransomware, które atakujący ogranicza dostęp do systemu komputerowego do czasu, aż firma obciąży dużą opłatą za szantaż. W jednym z głośnych incydentów z lutego 2016 r. atak ransomware zablokował pracownikom dostęp do systemów komputerowych w Hollywood Presbyterian Medical Center w Los Angeles. Cyberprzestępcy zażądali, aby szpital zapłacił równowartość około 17 000 USD za pośrednictwem systemu wirtualnej waluty Bitcoin, aby uzyskać klucz odszyfrowujący do odblokowania systemów. Zrobiliśmy to w najlepszym interesie przywrócenia normalnego funkcjonowania – napisał w komunikacie prezes i dyrektor generalny szpitala Allen Stefanek list zamieszczone na stronie internetowej szpitala.

W liście Stefanka zauważono, że cyberatak Hollywood Presbyterian nie zagroził opiece nad pacjentami i że, o ile szpital mógł stwierdzić, napastnicy nigdy nie uzyskali dostępu do informacji o pracownikach ani pacjentach. Jednak koncepcja okupu zdenerwowała zespoły kierownicze w innych organizacjach na całym świecie. Co się stanie, jeśli Twoje systemy ulegną awarii, ponieważ ktoś poprosi Cię o zapłacenie 1,5 miliona dolarów? — pyta De Souza. Czy jesteś gotów sobie z tym poradzić? Równie ważne: co o tym powiesz — i czy twój plan komunikacji odnosi się do takiego scenariusza?

Zbuduj silną podstawę

Oczywiście plany komunikacji kryzysowej będą się znacznie różnić w zależności od organizacji. Eksperci przedstawiają jednak kilka zaleceń dotyczących stworzenia skutecznych ram komunikacji kryzysowej:

• Stwórz wielofunkcyjny zespół ds. komunikacji. Mieliśmy pracownika HR. Mieliśmy ludzi od komunikacji i prawników, a także kogoś z zespołu IT, mówi Leach, opisując zespół ds. komunikacji kryzysowej w cyberbezpieczeństwie u swojego byłego pracodawcy. W zależności od rodzaju naruszenia główny zespół czasami zatrudniał innych wewnętrznych specjalistów. Może więc obejmować specjalistę ds. magazynowania lub specjalistę z branży w innym regionie świata, wyjaśnia.

• Stwórz przejrzystą strukturę przywództwa. „Kiedy coś się dzieje, dzieje się to szybko”, mówi De Souza. Drzewo komunikacji musi być dobrze zdefiniowane, z właścicielem, który nie ma nic przeciwko przejęciu kontroli.

• Mów jednym głosem . Nie musi to koniecznie oznaczać korzystania z jednego rzecznika. Zamiast tego oznacza to, że wszyscy uprawnieni do rozmowy z interesariuszami podzielają to samo przesłanie. W całej naszej komunikacji były tylko dwie lub trzy osoby, którym pozwolono wypowiadać się w imieniu firmy, wspomina Leach. Zaleca zapewnienie tym rzecznikom profesjonalnego szkolenia medialnego – ponownie, z dużym wyprzedzeniem przed ich potrzebą wykorzystania tych umiejętności.

• Przygotuj platformy komunikacyjne do działania. Ludzie nie są przyzwyczajeni do zarządzania kryzysem z prędkością Twittera, mówi Kawalec. Jeśli naruszenie zostanie upublicznione, jak najszybciej umieść w Internecie dedykowaną stronę internetową. Skonfiguruj wiele dwukierunkowych kanałów, aby interesariusze — pracownicy, klienci, partnerzy, media i inni — mogli kontaktować się z firmą z informacjami lub pytaniami.

• Ćwicz, ćwicz, ćwicz. De Souza zaleca prowadzenie ćwiczeń na stole, regularne próby obejmujące strategie komunikacji w celu reagowania na różne rodzaje cyberataków. Jak regularnie? Souza mówi, że w najlepszych przykładach, jakie widział, organizacje przeprowadzają ćwiczenia co kwartał i obejmują kadrę kierowniczą oraz zespół ds. komunikacji kryzysowej. Trzeba się upewnić, że plan komunikacji działa i można z niego faktycznie korzystać – zauważa.

Zajrzyj do zewnętrznej ekspertyzy

Oczywiście wielu organizacjom brakuje wewnętrznych zasobów potrzebnych do tworzenia, praktykowania i ciągłego aktualizowania kompleksowych planów komunikacji kryzysowej, zwłaszcza biorąc pod uwagę ogromną różnorodność potencjalnych scenariuszy cyberataków. W takich przypadkach warto zwrócić się do partnerów zewnętrznych z dużym doświadczeniem w opracowywaniu planów i najlepszych praktyk w zakresie komunikacji kryzysowej. Jeden przykład: HPE Security Services i FireEye, które zapewniły reagowanie na incydenty, ocenę narażenia i wykrywanie zagrożeń tysiącom klientów na całym świecie, a także oferują wiele sprawdzonych porad dotyczących planowania komunikacji kryzysowej.

Oczywiste jest, że nie można kontrolować cyklu komunikacji bez wcześniejszej pracy, zauważa Kawalec. Dlatego z wyprzedzeniem możemy opracować z Tobą lub dla Ciebie bardzo przemyślany plan reagowania kryzysowego z różnymi planami i scenariuszami. Następnie używamy go jako podręcznika szkoleniowego, którego Twoje zespoły mogą używać do działania w czasie rzeczywistym.

W ten sposób, gdy wydarzy się nieuniknione, organizacje są dobrze przygotowane do reakcji – mówi Kawalec. W ferworze wiesz, co i jak powiedzieć. Wiesz, jak przekazywać różne komunikaty różnym odbiorcom. Możesz przejąć kontrolę nad sytuacją i przekazać ją.

Aby dowiedzieć się więcej o transformacji cyfrowej i cyberbezpieczeństwie, zapoznaj się z tym Witryna internetowa z zasobami HPE-FireEye.

ukryć