Krizna komunikacija tokom Ransomware napada: Upravljanje informacijama u vanrednim situacijama

SADRŽAJ

• Kada sve stane
• Zašto je pametna komunikacija kritična tokom sajber napada
• Krizna komunikacija tokom vanrednih situacija - principi i mjere
• Krizna komunikacija kao ključ
• Zaključak: Krizna komunikacija u vanrednim situacijama
• Šta možete očekivati od DQS

Kada sve stane

Proizvodnja se zaustavlja. Lanci snabdijevanja su poremećeni. Fakture se ne mogu izdati. Plate se ne mogu isplatiti. Čak se i telefoni utišavaju tokom velikog incidenta u sajber sigurnosti. Ovaj gubitak kontrole je šok za svaku kompaniju – i prisiljava top menadžment da donosi ključne odluke u vrlo kratkom roku.

U takvoj situaciji, jedna stvar postaje ključna: jasna, strukturirana komunikacija – interno i eksterno. Ukratko: komunikacija u vanrednim situacijama.

Zašto je pametna komunikacija kritična tokom sajber napada

„Kriza postoji kada je drugi doživljavaju kao krizu.“ Ova izjava dotiče suštinu problema: bilo da se radi o zaposlenima, kupcima, dobavljačima ili javnosti – sve zainteresirane strane očekuju jasnoću i liderstvo u slučaju kršenja sigurnosti. Ako se ta očekivanja ne ispune, posljedice mogu biti ozbiljne: zaposleni mogu razmotriti otkaz, zainteresirane strane mogu izgubiti povjerenje, a kupci mogu otići.

Vrlo brzo se javljaju optužbe: „Ova kompanija nema situaciju pod kontrolom.“ Da li je to istina ili ne, u početku nije važno – ono što je važno je percepcija: „Nemaju plan komunikacije.“

Upravo tu dolazi do izražaja krizna komunikacija. Ona smanjuje neizvjesnost, pruža smjernice i pokazuje liderstvo. Kompanije koje izbjegavaju kontradiktorne poruke i dosljedno komuniciraju mogu održati povjerenje – čak i u krizi.

Krizna komunikacija tokom vanrednih situacija - principi i mjere

Balansiranje transparentnosti i diskrecije

Napadi ransomwarea zahtijevaju takt. Pretjerani tehnički detalji ili komentari o potencijalnim plaćanjima otkupnine mogu izazvati zbunjenost ili čak isprovocirati napadače. S druge strane, potpuna tišina djeluje izbjegavajuće. Transparentnost ne znači reći sve – to znači vjerodostojno pokazati da je situacija pod kontrolom i da se poduzimaju odgovarajuće mjere.

Dajte prioritet zainteresiranim stranama

1. Zaposlenici: Moraju biti prvi koji će biti obaviješteni. Jasne poruke sprječavaju glasine i uvjeravaju ih u vezi s radnim vremenom, odgovornostima i isplatom plata.
2. Kupci, partneri, dobavljači: Dajte realne procjene koliko dugo mogu trajati poremećaji i kakve uticaje možete očekivati.
3. Javnost i mediji: Praznine u informacijama vode do nagađanja. Proaktivna komunikacija vam omogućava kontrolu narativa.

Struktura i vrijeme

U krizi, strukturirani vremenski okvir je neprocjenjiv. Čak i ako u početku ne možete dati čvrsta predviđanja, okvirni raspored potiče transparentnost. Bolje je komunicirati česta, manja ažuriranja nego pretjerano obećavati i razočarati. Iskreno „Još uvijek istražujemo i uskoro ćemo vas obavijestiti“ je vjerodostojnije od preuranjenih izjava.

Planirajte fiksna ažuriranja za interne timove, zakazane brifinge za medije i koordinirane komunikacijske kanale kako biste osigurali kontrolu nad protokom informacija.

Alati i predlošci

Opremite svoj tim korisnim resursima: pripremljenim često postavljanim pitanjima, primjerima izjava, bilješkama o govoru i predlošcima e-maila. Ovi alati štede dragocjeno vrijeme i osiguravaju dosljednu komunikaciju – i interno i eksterno.

Priprema umjesto improvizacije

Najvažnija stvar: krizna komunikacija treba započeti mnogo prije stvarnog napada ransomwarea. Uspostavljanje komunikacijskih struktura i procesa unaprijed štedi dragocjeno vrijeme kada je najvažnije.

• Formirajte krizne timove: Međufunkcionalni timovi s jasnim ovlaštenjima za donošenje odluka
• Definišite odgovornosti: Ko komunicira interno? Eksterno? Ko odobrava konačne poruke?
• Dajte prioritet sistemima: Znajte koji su sistemi i procesi ključni
• Praktični scenariji: Izvodite realistične vježbe
• Uspostavite infrastrukturu: Hitne telefonske linije, sigurno skladištenje dokumenata, određene kontakt osobe

Kompanije koje redovno uvježbavaju krizne scenarije neće paničariti – odgovorit će planom.

Krizna komunikacija je ključ

Napad ransomware-a je vanredna situacija s visokim ulozima – i može brzo postati pitanje preživljavanja. U takvim trenucima, snažna krizna komunikacija nije opcionalna; ona je neophodna. Ona pruža orijentaciju, pomaže u održavanju povjerenja i čuva sposobnost vaše organizacije da djeluje.

Dobra vijest: krizna komunikacija se može pripremiti unaprijed. S pravim strukturama, predlošcima i ulogama, dobit ćete najvrjednije resurse u krizi: vrijeme, jasnoću i pouzdanost.

Naš praktični savjet: Poznati standard za upravljanje sigurnošću informacija ISO 27001 eksplicitno zahtijeva od organizacija da definiraju šta, kada, kako i s kim će komunicirati - i interno i eksterno (odjeljak 7.4). Posebna pažnja posvećena je temama vezanim za sigurnost: Sigurnosni incidenti, njihovo izvještavanje, rješavanje i praćenje podliježu jasno dokumentiranim zahtjevima (Dodatak A 5.24 - 5.26).
Na taj način, ISO 27001 ne samo da pomaže u upravljanju rizicima, već i osigurava da svi znaju šta treba učiniti u kritičnim trenucima.

Zaključak: Krizna komunikacija u vanrednim situacijama

Zašto je priprema važna

Napadi ransomwarea se ne mogu uvijek spriječiti. Ali način na koji vaša organizacija komunicira tokom jednog napada određuje hoće li incident postati katastrofa ili situacija u kojoj se može upravljati.

Organizacije koje unaprijed pripreme svoje strategije krizne komunikacije su u boljoj poziciji da zaštite povjerenje, ostanu operativne i oporave se jače.

ISO/IEC 27001 nudi strukturirani okvir za kriznu komunikaciju – s definisanim odgovornostima, komunikacijskim putevima i procedurama eskalacije. Ovo stvara jasnoću i otpornost potrebnu za efikasno reagovanje u vanrednim situacijama.

Šta možete očekivati od DQS

DQS je vaš stručni partner za audite i certifikacije – za sisteme upravljanja i poslovne procese. Sa više od 40 godina iskustva i globalnom mrežom od 2.500 auditora, nudimo pouzdane usluge certifikacije u svim oblastima informacione sigurnosti.

Naša posvećenost: Stručnost.
DQS auditori imaju dugogodišnje praktično iskustvo stečeno u organizacijama svih veličina i industrija. To osigurava da vaš auditor razumije vašu specifičnu situaciju i korporativnu kulturu.

Povežimo se – tu smo za vas.

Povjerenje i ekspertiza

Sav naš sadržaj razvijaju naši stručnjaci za standarde ili dugogodišnji auditori. Ako imate pitanja o ovom blog postu ili našim uslugama, slobodno nas kontaktirajte.

Napomena: Radi čitljivosti, koristimo generički muški oblik. Međutim, svi rodni identiteti su podjednako uključeni gdje je to primjenjivo.

Odricanje od odgovornosti: Ovaj članak pruža samo opće smjernice. Implementacija bilo kakvih sigurnosnih mjera ili mjera za odgovor na incidente treba biti prilagođena pravnom, regulatornom i operativnom okruženju vaše organizacije.