Durante un incidente informatico il silenzio genera voci, e una comunicazione sbagliata può fare più danni dell'attacco. Come comunicare in modo chiaro, tempestivo e coerente.
Quando un'organizzazione subisce un incidente informatico grave, l'attenzione va naturalmente ai sistemi da ripristinare. Ma quasi subito arrivano le domande: dei dipendenti che non possono lavorare, dei clienti che non ricevono le consegne, dei cittadini che non possono prenotare un servizio, dei giornalisti che hanno letto una rivendicazione online. Come si risponde, e chi lo fa, incide sulla fiducia per molto tempo dopo la fine dell'emergenza.
Una sola voce. Le comunicazioni esterne passano da una persona o da un piccolo gruppo designato. Il resto dell'organizzazione sa a chi indirizzare le domande e non rilascia dichiarazioni proprie.
Tempestività. Meglio una prima comunicazione breve e onesta che un lungo silenzio. Le notizie circolano comunque, spesso nella versione peggiore.
Onestà su ciò che si sa. Dire cosa è successo per quanto noto, cosa non si sa ancora, cosa si sta facendo e quando arriverà il prossimo aggiornamento. Evitare rassicurazioni che potrebbero essere smentite, come "nessun dato è stato compromesso", prima di averlo verificato.
Coerenza. Dipendenti, clienti, autorità e stampa devono ricevere informazioni compatibili tra loro. Messaggi diversi per pubblici diversi vanno bene, versioni contraddittorie no.
Utilità. Ogni messaggio deve dire alle persone cosa devono fare: usare un canale alternativo, diffidare di email a nome dell'organizzazione, cambiare una password.
Dipendenti. Sono i primi da informare: devono sapere cosa possono usare, cosa no, come lavorare nel frattempo e come rispondere a chi chiede. Attenzione al canale: se la posta è compromessa, servono alternative preparate prima.
Clienti, utenti e cittadini. Hanno bisogno di sapere quali servizi sono disponibili, quali no, per quanto tempo e come ottenere ciò che serve. Se i loro dati sono coinvolti e c'è un rischio elevato, il GDPR prevede di informarli senza ingiustificato ritardo, con un linguaggio semplice.
Fornitori e partner. Possono essere a rischio a loro volta, ad esempio per email truffaldine inviate dalle caselle compromesse. Vanno avvisati presto.
Autorità. Garante, CSIRT Italia, ACN e forze dell'ordine hanno canali e tempi definiti. Queste comunicazioni seguono il piano di risposta e non vanno improvvisate.
Stampa e social. Una breve dichiarazione preparata, aggiornata quando ci sono novità, evita interpretazioni sbagliate. Le rivendicazioni degli attaccanti vanno verificate prima di commentarle.
Il momento migliore per scrivere un comunicato di crisi è quando non c'è nessuna crisi. Nel piano di risposta agli incidenti conviene includere:
In un incidente la comunicazione è parte della risposta, non un dettaglio. Una voce sola, messaggi onesti e utili, aggiornamenti regolari: così si protegge la fiducia mentre si ripristinano i sistemi.
Durante un attacco non c'è tempo per decidere chi fa cosa. Gli elementi di un piano semplice, preparato prima, che permette di reagire in fretta e senza confusione.
Quando i dati personali vengono persi, rubati o diffusi, il GDPR fissa tempi stretti per valutare, notificare al Garante e, nei casi più gravi, informare le persone. Come prepararsi prima che succeda.
È successo a moltissimi. Quello che conta è cosa fai subito dopo: i passaggi, in ordine, per limitare il danno e aiutare chi deve intervenire.