CISA, FBI și agenții partenere din Australia, Canada, Noua Zeelandă și Regatul Unit au publicat un ghid comun pentru furnizorii care trebuie să comunice în timpul unei întreruperi majore de servicii IT sau OT. Recomandarea centrală este simplă, dar greu de aplicat sub presiune: comunică devreme, transparent și într-un limbaj util, fără să transformi presupunerile tehnice în fapte.
Ce este confirmat și ce nu trebuie adăugat
Documentul oficial recomandă un plan cu praguri și audiențe definite, mesaje transparente în limbaj clar, informații tehnice utile utilizatorilor și o analiză a cauzei atunci când aceasta poate fi susținută. Ghidul cere și aliniere cu obligațiile legale și de reglementare. Nu descrie un incident nou, nu stabilește un termen universal și nu spune că primul mesaj trebuie amânat până la identificarea cauzei.
În prima oră, diferența dintre fapt, ipoteză și decizie este mai importantă decât o explicație completă. „Serviciul de autentificare nu răspunde pentru o parte dintre utilizatori” poate fi un fapt observat. „Cauza este un atac ransomware” rămâne o ipoteză până când există dovezi. „Am activat canalul de rezervă și revenim la ora 11:30” este o decizie verificabilă.
Anatomia unui prim mesaj util
- Ce s-a observat: serviciul sau procesul afectat, momentul aproximativ și aria cunoscută, fără atribuire prematură.
- Ce funcționează încă: procesele și canalele neafectate, ca oamenii să nu oprească inutil întreaga activitate.
- Ce trebuie să facă destinatarul acum: folosește canalul de rezervă, nu reporni echipamentul sau nu trimite date sensibile, după caz.
- Unde se găsește versiunea oficială: o pagină de stare, un număr validat sau un canal alternativ cunoscut înaintea incidentului.
- Când vine următoarea actualizare: un moment concret, inclusiv atunci când investigația nu a produs încă o concluzie nouă.
- Ce nu se știe: cauză, durată, date afectate sau atribuire, dacă aceste elemente nu sunt încă susținute de dovezi.
Cine decide, cine verifică și cine vorbește
- Incident commander-ul stabilește ritmul, ownerii și criteriile de escaladare, fără să rescrie concluziile tehnice.
- Ownerul tehnic confirmă impactul observat și marchează explicit ce este ipoteză, estimare sau informație incompletă.
- Legal, privacy și compliance verifică obligațiile aplicabile, destinatarii și formulările cu risc, fără să blocheze comunicarea factuală de bază.
- Comunicarea adaptează același nucleu de fapte pentru angajați, clienți, parteneri și presă și păstrează un jurnal al versiunilor.
- Help desk-ul primește un răspuns aprobat, un mecanism de escaladare și o metodă de autentificare a mesajelor legitime.
- Managementul aprobă riscul și prioritățile operaționale, dar nu declară cauza sau închiderea incidentului fără dovadă.
Dacă principalul canal a căzut, planul nu poate locui în el
Un plan de criză salvat doar în platforma afectată nu este un plan disponibil. Organizația are nevoie de contacte și șabloane accesibile offline, minimum două canale independente, reguli pentru actualizarea paginii de stare și o modalitate prin care destinatarii pot recunoaște mesajele autentice. Cloud Security Alliance recomandă roluri, praguri, șabloane, cadență și redundanță exersate înaintea incidentului, nu improvizate în timpul lui.
Tabletop: o oră fără aplicația critică
Rulează exercițiul în 45–60 de minute cu IT, OT sau operațiuni, help desk, legal/privacy, comunicare și management. Pentru fiecare inject, cere un mesaj efectiv, owner, canal, termen și dovadă.
- Minutul 0 — monitorizarea arată indisponibilitate, dar cauza este necunoscută. Cine declară incidentul și ce prag pornește comunicarea?
- Minutul 10 — e-mailul intern este indisponibil, iar angajații primesc mesaje contradictorii pe grupuri personale. Care este canalul de rezervă aprobat?
- Minutul 20 — un tehnician suspectează ransomware, fără probe confirmate. Cum păstrați ipoteza în interiorul investigației și faptele în mesajul public?
- Minutul 35 — un client important cere o estimare de restaurare. Cine poate oferi un interval și cum este marcată incertitudinea?
- Minutul 50 — apare o obligație de notificare posibil aplicabilă. Cine verifică termenul, conținutul și autoritatea destinatară?
- Minutul 60 — serviciul revine parțial. Ce dovadă este necesară înainte să comunicați „restaurat” sau „incident închis”?
Indicatori care arată dacă echipa poate comunica sub presiune
- Timpul până la primul mesaj aprobat și timpul dintre actualizările promise și cele publicate.
- Procentul mesajelor care separă clar faptele, ipotezele, deciziile și necunoscutele.
- Timpul necesar pentru activarea unui canal de rezervă și procentul destinatarilor care îl pot identifica.
- Numărul corecțiilor provocate de afirmații premature despre cauză, impact sau restaurare.
- Rata de înțelegere: câți destinatari pot spune corect ce s-a întâmplat, ce trebuie să facă și când urmează actualizarea.
- Procentul incidentelor în care obligațiile, ownerii și dovezile de notificare sunt consemnate într-o cronologie comună.
În Learning Awarely, scenariul poate fi împărțit pe roluri și evaluat după decizii observabile: cine verifică, cine aprobă, cine publică și cine păstrează dovada. Platforma poate susține instruirea și evidența exercițiului, dar nu stabilește singură obligațiile legale și nu garantează conformitatea.