Fusione dei dati Furto di dati: come avere successo nella comunicazione di crisi. L'incubo per ogni azienda: un attacco informatico ha portato al furto di dati. Come si può sopravvivere a questo scenario peggiore, per non parlare dei danni finanziari e materiali, in termini di comunicazione senza perdere clienti o azionisti?
In una discussione, Sophos e il professore associato Jason RC Nurse dell'Università del Kent hanno sviluppato risposte importanti e una guida a questa domanda essenziale. Quando si verifica il crollo della sicurezza IT e i criminali informatici sono stati in grado di rubare grandi quantità di dati aziendali, le questioni forensi come scoprire i gateway e come gli hacker procedono nella rete sono ovviamente al centro dell'attenzione. Quando si tratta di rispondere al furto di dati, però, non va dimenticato un punto importante: cosa dico al pubblico e come lo comunico? Un attacco informatico è sempre una sorpresa sgradita. Ma con un'adeguata preparazione e una risposta ponderata, in molti casi si può mantenere il rapporto di fiducia con i clienti e il pubblico.
Nell'ambito del Cybersecurity Summit, Sophos ha parlato con il professore associato e specialista in sicurezza informatica Jason RC Nurse - Professore associato di sicurezza informatica - della strategia di comunicazione in caso di violazione dei dati.
Strategia di comunicazione per le emergenze
La quantità di lavoro prima che si verifichi una violazione dei dati è fondamentale, ma molte organizzazioni trascurano questa fase preparatoria, almeno quando si tratta di strategia di comunicazione. Per rispondere efficacemente a una violazione dei dati, l'organizzazione deve determinare in anticipo chi sarà il portavoce pubblico, il modo migliore per raggiungere i clienti e le regole generali di comunicazione.
L'elenco di coloro che parlano in pubblico dovrebbe essere il più ristretto possibile - idealmente un massimo di due persone "significative", perché i giornalisti vogliono un esperto o un dirigente. Ciò garantisce che il messaggio rimanga coerente e che venga evitata confusione. È utile anticipare le possibili domande della stampa, degli azionisti o dei clienti e avere risposte sintetiche pronte. Questo piano generale dovrebbe essere creato per vari incidenti di sicurezza e tenuto aggiornato con revisioni regolari.
Inoltre, questi test regolari assicurano che ogni dipendente conosca le proprie responsabilità e sappia con chi può parlare di cosa.
Divulgare o mantenere il segreto?
L'onestà rimane la migliore politica in materia aziendale, salvo diversa disposizione di legge. Se l'azienda decide di tenerlo segreto, c'è sempre il rischio che l'incidente venga fuori più tardi e il danno di immagine sia tanto maggiore. Inoltre, i responsabili non devono sottovalutare che i dati rubati possono finire su mercati criminali online e diventare così pubblici.
Prendersi la responsabilità
Quando si verifica un attacco informatico, le persone colpite sono rapidamente tentate di presentarsi come vittime. E mentre tecnicamente questo è vero, il pubblico spesso vede questo comportamento in modo negativo. Chiunque, in qualità di organizzazione o azienda, si affida o lavora con dati personali o altri dati importanti è responsabile della protezione di questi dati. Pertanto, le aziende dovrebbero comprendere le dimensioni di un furto di dati dal punto di vista del cliente, assumersi la responsabilità e comunicare in modo rapido, chiaro e concreto come reagire al furto di dati.
Breve guida alla comunicazione di crisi
- Rispondi velocemente. Spesso c'è solo un'opportunità per la prima impressione e dovrebbe essere quella che ispira fiducia. Una buona preparazione facilita una risposta immediata, misurata e precisa.
- Invia un messaggio chiaro. Nessun gergo tecnico quando ci si rivolge a clienti, azionisti o al pubblico in generale. La comunicazione diretta ed enfatica è molto più efficace.
- Usa un'unica fonte. La comunicazione tramite le varie aree di notizie dell'azienda o i canali dei social media può rapidamente attenuare quello che in realtà è un messaggio chiaro. Una dichiarazione unica e tempestiva direttamente dal senior management attraverso un canale aziendale aiuta a trasmettere il messaggio in modo chiaro.
- Assumersi la responsabilità. Azionisti, clienti e media premiano le aziende che riconoscono i propri errori.
- Tieni informate tutte le persone coinvolte. Elaborare un piano d'azione in modo da poter informare con competenza azionisti e clienti anche dopo la prima “quotazione in borsa”. In questo modo rimangono intatti i buoni rapporti che spesso si sono costruiti nel corso di molti anni.
Sfondo su Jason RC Nurse: è Professore Associato di Cybersecurity presso l'Università del Kent e Visiting Researcher presso l'Università di Oxford. La sua ricerca si concentra sugli aspetti socio-tecnici della sicurezza informatica, della privacy e della fiducia. Ha incorporato i suoi anni di ricerca in un quadro basato sull'evidenza che delinea il modo migliore per affrontare il potenziale danno a livello di relazione che accompagna un attacco informatico.
La conversazione con Professor Nurse è disponibile anche come video.
Ulteriori informazioni su Sophos.com
A proposito di Sophos Sophos gode della fiducia di oltre 100 milioni di utenti in 150 paesi. Offriamo la migliore protezione contro le minacce informatiche complesse e la perdita di dati. Le nostre soluzioni di sicurezza complete sono facili da implementare, utilizzare e gestire. Offrono il costo totale di proprietà più basso del settore. Sophos offre soluzioni di crittografia pluripremiate, soluzioni di sicurezza per endpoint, reti, dispositivi mobili, e-mail e web. C'è anche il supporto dei SophosLabs, la nostra rete globale di centri di analisi proprietari. Le sedi di Sophos sono a Boston, USA e Oxford, UK.