Они не делали то, о чем пишут: мифы про антикризисное реагирование на киберинцидент. Часть 1

Как делать антикризис, если у вас утечка данных или сбой в результате кибератаки, и что не так с советами по этой теме?

Последнее время мне часто попадаются статьи про то, как делать антикризис, если ваша компания столкнулась с кибератакой. Рекомендации, чек-листы, бодрые схемы из серии «соберите штаб, назначьте спикера, подготовьте заявление». Я изучаю их все, потому что антикризис до, во время и после киберинцидента — это экспертиза, которую я методично развиваю 20+ лет, работая в коммуникациях на рынке информационной безопасности. Так вот за всё это время неизменным для меня оставалось одно: когда хочется оседлать хайповую тему, в ней хорошо бы разбираться. Для коммуникатора это означает не просто прочитать пару методичек и спросить ИИ, а прожить этот кризисный опыт. А потом еще раз, и еще. И только затем публиковать чек-листы.

Большинство статей описывают такой кризис либо как строго техническую, либо как коммуникационную проблему. В реальности слоев у этого пирога намного больше — управленческий, юридический, технический, операционный и репутационный. Кризис, вызванный киберинцидентом, это не разгон фейковых новостей, не опровержения для СМИ, не риск утраты лояльности сотрудников, клиентов, партнеров, не риск штрафа, не риск судебных разбирательств. Это всё сразу.

Универсальный PR-подход с советами уровня «сообщите факты», «назначьте ответственного» и «будьте прозрачны» выдает поверхностные знания. Они не помогут, когда у вас легли сервисы, сотрудники не могут работать, безопасники еще не понимают масштаб, а мониторинг СМИ красноречиво намекает — журналисты уже набирают вам сообщение: «Так вы подтверждаете компрометацию данных или нет?»

В двух частях разберу мифы про антикризисное реагирование на киберинцидент, которые говорят о том, что сам автор вряд ли бывал в этой центрифуге. А также расскажу, ка лучше подойти к кризисной готовности на практике.

“Справлялись с разными кризисами — и с этим справимся”. Не проверим — не узнаем, но я бы не была так уверена. Киберинцидент — это сложный тип кризиса, который имеет свою специфику и даже специальный термин “киберкризис” (cyber crisis). В чем разница? В “обычной” кризисной ситуации у компании, как правило, есть понимание, что произошло, кто вовлечен, чем и кому это грозит, кто принимает решение и плюс-минус что делать. Во время киберинцидента факты могут меняться каждый час и чаще. Техническая данные неполные, первичные выводы могут оказаться неверными, неосторожная коммуникация может помочь атакующим, несвоевременная — лишить вас контроля в инфополе. А у СМИ в это время вполне возможно появится своя версия событий, имея все шансы стать основной. Как в кейсе с телеком-компанией Telus: Я в домике — часть 1 и часть 2

Киберкризис вовлекает большой круг участников. Среди них немало внешних — клиенты, партнеры, ИТ-подрядчики, иногда регулятор, правоохранители, консультанты, вплоть до страховой компании. А перечень задействованных руководителей внутри компании может быть еще длиннее — СЕО, CISO, юрист, HR, PR, руководители коммерческой дирекции, партнерской сети и др. И все они смотрят на один и тот же инцидент абсолютно с разных сторон.

А еще ваши коммуникации читает злоумышленник и делает свои выводы.

В большинстве статей, что мне попадались, это всё либо опускается, либо упоминается вскользь. Ну да, где-то там у нас есть безопасники, где-то юристы, где-то клиенты и какой-то хакер. А дальше автор возвращается к привычной PR-логике: сформулировать позицию, назначить спикера, разослать антикризисное заявление. Выдыхаем.

В реальности так не работает.

Во время киберинцидента коммуникатор часто находится в условиях, когда киберинцидент уже заметен внешним аудиториям, говорить нужно срочно, а говорить либо нечего, либо опасно. При этом коммуницировать предстоит не только со СМИ, а со всеми целевыми аудиториями, которых я выделяю от пяти до десяти. У всех свой уровень тревоги, ожидания, вопросы, риски и сроки. От последовательности информирования каждой зависит, как минимум, ее отношение к вам с перспективами взаимодействия. Задайте себе вопрос: кто первым должен узнать, что вас атаковали и часть сервисов недоступны — акционеры, сотрудники, подрядчики? Не так очевидно, как кажется, верно?

Ваш антикризисный план (он же у вас есть?) я бы рекомендовала дополнить сценариями на случай кибератаки. Такой блок логически и структурно связывается с техническим планом реагирования на киберинцидент вашей ИТ или ИБ-команды. В антикризисных сценариях с утечкой данных, ransomware-атакой, DDoS, компрометацией подрядчика, сбоем критически важного сервиса вам придется действовать по-разному, чтобы не спровоцировать атакующего, не повлиять на переговрный процесс в случае ransomware-атаки, или договориться с подрядчиком, чтоб не устраивать публичный дележ инфополя. Вам должны быть понятны критерии эскалации, приоритетность аудиторий, верификация и порядок согласования сообщений, а также роли и план действий. Хотя бы на первый “золотой час”.

Где-то усмехнулся CISO, а юрист подмигнул HR’у, все вместе посмотрели на CEO. В реальном киберинциденте PR отвечает за более широкое поле, чем привык, это факт, но главным в штабе всегда будет глава штаба.

Открою секрет, штабов может быть несколько. Если у компании широкая география присутствия — свой штаб может быть в каждой локации. Более того, штабы могут быть созданы по функциональному признаку — штаб юристов, штаб коммуникаций и др. Однако все они управляются “из центра”, иначе компания будет похожа не нестройный хор. Разноголосица при киберинциденте — это не стилистика и ToV, это юридические, репутационные и операционные риски.

PR-команда не может "руководить" кризисом, связанным с инцидентом. Она не владеет полной технической фактурой, не знает регуляторные обязательства, не управляет восстановлением инфраструктуры и не в курсе обязательств по SLA. PR не принимает решение, можно ли отключить сервис, платить или не платить вымогателям (осуждаем первое, конечно), уведомлять ли конкретного регулятора и в какие сроки.

Антикризисный штаб всегда кросс-функциональный и иногда состоит не только из руководителей компании: к инциденту может быть подключена внешняя команда реагирования (DFIR), а то и не одна, а также кризисные консультанты. В отдельных кейсах к реагированию может подключится и профильный регулятор. Иногда — не так, как вам хочется. Например, как с компанией VRChat, поучаствовавшей в таинственной истории с регулятором, журналистами и самоотверженными пиарщиками.

Роль PR в киберкризисе не главная, но именно PR — центр координации всех коммуникаций. Эта команда управляет восприятием, формой, каналами, последовательностью сообщений, формулировками позиции компании, снижением репутационных рисков. Антикризисные коммуникация — это неотъемлемая часть реагирования на инцидент. Без PR не обойдется ни один “взрослый” антикризис. Попытки были, работу пиара пытался выполнить, например, маркетинг, получалось не очень.

Во всех успешных проектах в моей практике, PRD всегда имеет законное место в антикризисном штабе и подключается с первых минут, а не когда всё прояснится и “для вас будет фактура”. Продолжая логику предыдущей части, специалисты по коммуникациям действуют не интуитивно (особенно, если опыта мало), но опираясь на антикризисный план, который — часть стратегии.

В таком плане заранее определено, кто имеет право утверждать внешнюю позицию, как подтверждаются данные, кто отвечает за кризисный мониторинг, какие сигналы — повод для немедленной эскалации, а на что не стоит тратить время и ресурс.

Я где-то понимаю, откуда растут ноги у таких далеко идущих утверждений, но то, откуда они растут, это точно не опыт реагирования на киберинцидент.

Поэтому — нет. Просто нет. Если причина кризиса — киберинцидент, юристы не опциональны, как и почти в любом крупном кризисе, где важны формулировки. Например, здесь я писала о попытке игры с терминологией.

Юристы не только подсказывают, можно ли слово “утечка” заменить на “инцидент”. Они отвечают за анализ договорных обязательств перед клиентами, риски раскрытия информации, потенциальные иски, регуляторные обязательства и многое другое.

Часто слышу: юристы перестраховываются, если их слушать — мы ни одного комментария не выпустим. Да, юристы делают свою работу. Да, они не должны “сушить” коммуникации до состояния “Мы ничего не знаем и ничего никому не скажем”. Но назвать их участие опциональным — значит в глаза не видеть карту рисков при киберинциденте.

Компрометация, утечка, несанкционированный доступ, подозреваем, подтверждаем, отрицаем и опровергаем — это не набор слов. Это юридически чувствительные формулировки. Киберинцидент всегда имеет последствия, даже если вам кажется, что с кризисом вы справились хорошо. Нередко эти последствия юридические, в виде штрафа, суда и др.

PR и юристы должны, как минимум, общаться в "мирное" время, вне кризиса, чтоб понимать, когда и о чем уведомлять друг друга. Еще лучше — иметь правила совместной работы. Это поможет вам много-много раз, даже безо всякого киберинцидента. А если уж “прилетело” — сэкономит время и ресурсы. Отлично, если у вас будут предсогласованные шаблоны уведомлений для клиентов и партнеров на случай инцидента. Идеально, если в компании внедрен процесс юридической проверки внешних и внутренних коммуникаций разных уровней срочности.

Сильная PR-команда в киберинциденте не воюет с юристами за формулировки. Сильная PR-команда провела эти бои задолго до кризиса и нашла компромисс.

На этом закончу первую часть разбора мифов, связанных с антикризисом при киберинцидентах. Вторая на подходе, а пока буду рада, если зайдете на мой сайт или подпишитесь на телеграм-канал PR machine, где я по косточкам разбираю сложные кризисы и реагирование на них.

Спасибо!