Che cosa hanno in comune un CISO che deve gestire una violazione dei dati e un bambino di 10 anni che ha appena rotto per sbaglio la finestra del vicino? Ciascuno di loro si trova di fronte a una scelta difficile riguardo a cosa comunicare in seguito e in che modo. Come stanno scoprendo sempre più dirigenti aziendali, la mancanza di una comunicazione onesta e la mancata assunzione di responsabilità per i propri errori potrebbero ritorcersi contro di voi in futuro.
Uber lo sa fin troppo bene.
Last October the U.S. Department of Justice convicted Joe Sullivan, the company's former chief of security, for lying about a 2016 hack where thieves stole data on approximately 57 million customers. Sullivan ha organizzato un pagamento di 100.000 dollari in bitcoin per mettere a tacere gli hacker, nascondendo successivamente l’attacco informatico alle parti interessate esterne e alla nuova dirigenza di Uber, ha affermato il Dipartimento.
Gli hacker si sono dichiarati colpevoli nel caso 2019 e, al momento della stesura del presente articolo, Sullivan è in attesa della sentenza, che potrebbe comportare per lui una pena detentiva fino a otto anni.
Comunicate tempestivamente e con regolarità
Sebbene poche aziende arrivino al punto di insabbiare un reato, molte cercheranno di eludere le conseguenze. «È un gioco pericoloso», afferma Jon Collins, vicepresidente della divisione ricerca presso la società di analisi GigaOm.
“Anche l’insabbiamento rappresenta un rischio. E il modo per mitigare tale rischio, dal punto di vista aziendale, è ammettere la propria responsabilità il più rapidamente possibile.”Jon Collins, vicepresidente della divisione ricerca di GigaOm
«Ogni rischio è un rischio aziendale», afferma, aggiungendo che gli insabbiamenti denotano una mancanza di visione d’insieme. "Ciò accade perché la questione viene considerata dal punto di vista della sicurezza e non dal punto di vista del rischio legato all’ e, ma anche l’insabbiamento rappresenta un rischio." E il modo per mitigare tale rischio, dal punto di vista aziendale, è quello di ammetterlo senza indugio."
Talvolta, una comunicazione tardiva e poco chiara deriva da una mancanza di preparazione. In occasione di un evento organizzato da “ ” e dal “Wall Street Journal” ( ) alla fine di novembre, Todd McKinnon, cofondatore e amministratore delegato della società di autenticazione delle identità Okta, ha espresso rammarico per la gestione da parte della propria azienda di un incidente di sicurezza informatica avvenuto nel 2022.
L'attacco ai danni di Sitel, uno dei fornitori dell' Okta, è avvenuto a gennaio, ma Okta ha ammesso l'accaduto solo a marzo, dopo che il gruppo di hacker Lapsus$ aveva reso pubblici i dettagli sul proprio account Telegram, inclusi gli screenshot dei sistemi compromessi.
Okta'Il responsabile della sicurezza dell’azienda, David Bradbury (che non ha alcun legame di parentela con chi scrive), ha risposto affermando che i clienti non dovevano intraprendere alcuna azione correttiva. Tuttavia, Lapsus$ ha continuato a provocare l’azienda online, avvertendo che i suoi clienti erano il bersaglio, e i clienti hanno espresso pubblicamente la propria frustrazione per la mancanza di chiarezza (o, in alcuni casi, per l’assenza totale di qualsiasi comunicazione diretta da parte di Okta ).
Okta ha poi rivelato che 366 clienti potrebbero essere stati coinvolti nell'attacco, e Bradbury ha puntato il dito contro Sitel. «Sono profondamente deluso dal lungo lasso di tempo trascorso tra la nostra prima segnalazione a Sitel, avvenuta a gennaio, e la pubblicazione del rapporto completo d’indagine, avvenuta solo poche ore fa», avrebbe affermato ; tuttavia, in seguito ha anche ammesso che l’azienda avrebbe dovuto agire con maggiore tempestività nel comunicare tali informazioni dopo aver ricevuto il rapporto.
"È difficile essere sinceri su certe questioni, soprattutto quando non si dispone di tutte le informazioni", afferma Jenai Marinkovic, vCISO presso Tiro Security e membro del gruppo di lavoro "Emerging Trends " dell'ISACA. Ciò non dovrebbe tuttavia impedire alle aziende di valutare quali informazioni siano sufficientemente attendibili da poter essere condivise e di agire con trasparenza al riguardo, anche se dovessero poi colmare le lacune man mano che le indagini procedono. «Si limiti a spiegare ciò che sa in questo momento e a comunicare quali saranno i suoi prossimi passi», consiglia. "Il mondo tende ad essere piuttosto indulgente se si è sinceri, quindi è fondamentale diffondere il messaggio giusto il più rapidamente possibile, non appena se ne ha l'occasione,"
Una comunicazione efficace si basa su una solida valutazione dei rischi
Ma una volta che avete deciso di segnalare un incidente di sicurezza informatica anziché ignorarlo o nasconderlo sotto il tappeto, come si procede con tale ammissione? “Si inizi con una solida valutazione dei rischi relativa all’ ”, afferma Marinkovic.
“La vostra valutazione dei rischi avrebbe dovuto individuare i tipi di violazione più probabili, gli autori delle minacce e i processi su cui queste hanno un impatto, insieme a tutte le persone a valle che ne subiscono le conseguenze.”Jenai Marinkovic, vCISO, Tiro Security
La comunicazione costituisce una parte integrante di un più ampio manuale di risposta agli incidenti informatici , che dovrebbe essere adattato per far fronte alle diverse minacce. Potrebbe reagire e comunicare in modo diverso nel caso di un attacco DDoS o di un attacco ransomware di tipo “ ” rispetto a una situazione di furto di informazioni che espone i clienti a rischi finanziari.
"La vostra valutazione dei rischi avrebbe dovuto individuare i tipi di violazione più probabili, gli autori delle minacce e i processi su cui essa incide, insieme a tutte le persone a valle che ne subiscono le conseguenze", afferma. "Pertanto, se si effettua una valutazione dei rischi in modo adeguato, i risultati di tale valutazione dovrebbero confluire nel vostro piano di comunicazione."
A questo punto, dovrete comunicare esclusivamente informazioni accurate. Ciò significa trovare il giusto equilibrio tra comunicare tempestivamente, in modo da dare l’impressione di avere il controllo della situazione, e allo stesso tempo accertarsi dei fatti, afferma Paul Watts, illustre analista dell’Information Security Forum.
«Questo a volte può rappresentare un problema se si ritiene necessario sferrare quel colpo preventivo e poi ci si rende conto che le circostanze dell’incidente sono migliori o peggiori, il che significa che è necessario riposizionarsi», afferma.
Nulla mina la fiducia più rapidamente, in caso di violazione dei dati, quanto le informazioni incoerenti. L’azienda britannica di telecomunicazioni TalkTalk è stata oggetto di critiche dopo aver diffuso dichiarazioni apparentemente contraddittorie in merito al furto di dati dei clienti avvenuto nel 2015, lasciando perplessi sia la polizia britannica che i clienti.
Una comunicazione costante implica un dialogo stretto e frequente con gli ingegneri e il personale IT. Vi aiuteranno a distinguere i fatti accertati dalle teorie in fase di sviluppo, in modo che possiate comunicare solo ciò di cui siete certi.
Colmare il divario linguistico
“Il dialogo con gli ingegneri è un ottimo esempio di come un approccio multidisciplinare sia fondamentale”, afferma Marinkovic. Tradurre il linguaggio tecnico degli ingegneri di in un linguaggio comprensibile per i clienti potrebbe risultare difficile per i professionisti della comunicazione interna privi di una formazione tecnica. Occorre porre domande insistenti e incisive per raccogliere dati rilevanti che possano essere trasmessi alle autorità di regolamentazione e alle parti interessate coinvolte.
"Il vostro team GRC [governance,e, rischio e conformità in materia di ] comprende i controlli e tende ad avere maggiore esperienza nel tradurre la tecnologia in termini comprensibili per l’azienda", afferma. Dovrebbero essere presenti durante l’elaborazione delle strategie di comunicazione esterna.
Prestino attenzione alle perdite
Garantire l’esistenza di un unico canale di comunicazione esterno è fondamentale, afferma Watts, il quale mette in guardia le organizzazioni dal rischio di fughe di notizie interne. È fondamentale formare i dipendenti su ciò che possono e non possono dire nel corso di un incidente. "Altrimenti ciò crea occasioni di esposizione e di divulgazione accidentale, che potrebbero quindi andare contro il senso di una strategia di comunicazione formale che potreste aver adottato", avverte.
Per “comunicazione inappropriata” non si intendono solo le conversazioni con i giornalisti. Se l’autore di un attacco ai danni di un’azienda dispone di un account su Twitter , i dipendenti incuriositi potrebbero essere tentati di seguirlo dal proprio account personale. Anche questo può aumentare la superficie di attacco dell’organizzazione e creare problemi al team di sicurezza interno, afferma Marinkovic.
Le vittime di una violazione dei dati ricorrono spesso a esperti forensi esterni per individuare e risolvere il problema. Secondo gli esperti, avvalersi di professionisti della comunicazione esperti in scenari di crisi informatiche può rivelarsi altrettanto prezioso.
"Affidarsi all'agenzia di pubbliche relazioni giusta vi aiuta a trasmettere quel messaggio in modo autentico", afferma Marinkovic. Nessuno vuole sentirsi dire quanto siano importanti per voi i propri dati dopo che un ladro li ha appena diffusi ovunque sul dark web. Al contrario, una descrizione chiara e concreta di quanto è accaduto e delle misure che state adottando per porvi rimedio rappresenta la strada migliore da seguire — e un po’ di sincera umiltà non guasterebbe.
