Attacco informatico - come comunicare?

Una buona comunicazione di crisi aiuta l'impresa/organizzazione a posizionarsi come fonte di informazioni centrale e affidabile e a prevenire speculazioni, indiscrezioni o notizie false. Gli attacchi informatici richiedono quindi una comunicazione di crisi tempestiva, coordinata e ben studiata, per trasmettere sicurezza e riconquistare la fiducia dei gruppi di interesse.

Nel caso di ciberattacchi, l’impresa risulta particolarmente impegnativa a causa della complessità tecnica e dell’incompletezza delle informazioni disponibili. In caso di evento i responsabili devono reagire rapidamente e rispondere in tempo reale ai mutamenti delle circostanze. Per un flusso coordinato di informazioni interne ed esterne è necessario accordarsi periodicamente con tutti i gruppi di interesse. Nella comunicazione di crisi, la sensibilità alle emozioni, la trasparenza e la disponibilità ad ammettere gli errori costituiscono dei requisiti essenziali.

Divulgazione dell’incidente

In caso di incidente informatico, il team di gestione delle crisi deve decidere se, quando e come divulgare la notizia dell’incidente. In linea di principio, una comunicazione tempestiva, proattiva e trasparente con i gruppi d’interesse è più efficace che aspettare che la crisi passi o, addirittura, che tenerla segreta. Per determinare il momento opportuno per la divulgazione occorre tenere conto dei seguenti punti:

Salvaguardia degli interessi delle indagini di polizia: la divulgazione dell’incidente mette a rischio l’indagine o le attività forensi?
Situazione informativa: le informazioni disponibili sono state verificate e corrette?
Per la narrazione e la percezione valgono i seguenti principi: la comunicazione interna ha la precedenza su quella esterna, i canali dell’impresa/organizzazione hanno la precedenza sui media. Una comunicazione tempestiva aiuta a plasmare la percezione della crisi da parte dell’opinione pubblica.

Principi relativi alla comunicazione di crisi

In caso di evento, le informazioni al pubblico vengono spesso comunicate da organi diversi e su livelli diversi. Per garantire che tutti gli organi si esprimano all’unisono, tutti i soggetti coinvolti devono essere a conoscenza della fattualità delle informazioni e della linea comunicativa. Tale accordo va raggiunto prima di informare il pubblico.
Rimanere fattuali nel comunicare le informazioni.
Il pubblico non conosce le circostanze esatte della crisi né gli accordi interni. È pertanto importante che l’impresa/organizzazione coinvolta comunichi in modo rapido e regolare e che si ponga come fonte centrale e affidabile di informazioni. Così facendo non si lascia spazio a speculazioni, indiscrezioni o notizie false.
Nel comunicare le informazioni occorre prestare attenzione a utilizzare un linguaggio generalmente comprensibile.
Le preoccupazioni relative alla sicurezza di dati, beni e servizi devono essere prese sul serio. È importante mostrare empatia e comunicare in modo trasparente le misure correttive.

Le tre fasi della comunicazione di crisi

La comunicazione di crisi in caso di attacco informatico si divide in tre fasi:

Fase 1: Informazioni sull’attacco informatico
Fase 2: Informazioni sul contrasto all’attacco informatico
Fase 3: Informazioni sulla conclusione dell’attacco informatico

I messaggi principali devono rimanere immutati durante tutte le tre fasi:

L’impresa/organizzazione (NOME) mantiene la situazione sotto controllo e ha introdotto misure opportune.
La sicurezza e l’integrità dei dati della popolazione, dei nostri collaboratori e dei nostri partner sono la nostra massima priorità.
L’impresa/organizzazione (NOME) sta indagando sull’accaduto e sta collaborando con la polizia cantonale e il fornitore di prestazioni informatiche preposto per determinare l’origine e la portata dell’evento.
L’impresa/organizzazione (NOME) comunicherà in modo trasparente e tempestivo eventuali nuovi dettagli.

In collaborazione con i Cantoni di Zurigo e di Vaud, l’Ufficio federale della cibersicurezza ha sviluppato modelli per la comunicazione di crisi da parte dei Comuni in caso di attacco informatico. Questi modelli sono stati adattati per le imprese e le organizzazioni.