Incidenti e attacchi informatici più o meno gravi sono ormai all’ordine del giorno, ma come possono essere affrontati in modo efficace dal punto di vista della comunicazione? Ne parliamo con Renè Bonvanie, Chief Marketing Officer, Palo Alto Networks
D. Crisis management e strategia di comunicazione sono questioni che occupano e preoccupano i manager a diversi livelli e che possono essere considerati da punti di vista distinti, quello dei clienti e quello dell’azienda stessa. Voi come la vedete?
R. Effettivamente, ci sono due aspetti differenti legati alla cybersecurity – quello che è giusto fare per clienti e dipendenti, e quello che invece è giusto fare per stakeholder e legislatori. Le prospettive possono essere infatti molto diverse. I breach sono ormai, quasi in tutte le economie, oggetto di normativa perché tipicamente impattano i diritti fondamentali dei cittadini e la loro privacy, o degli azionisti influenzando il valore dell’azienda in Borsa.
D. Ma parliamo di attacchi. Ne esiste solo una tipologia?
R. No, e bisogna essere pronti ad affrontarle entrambe: un attacco ai propri sistemi e reti e un breach presso uno o più clienti. Gli effetti possono essere diversi. Quello più ovvio è il furto di informazioni relative a un cliente dalla rete aziendale che mette a repentaglio – in termini di sicurezza e privacy – tutti i clienti. In questi casi è fondamentale essere il più trasparenti possibile con i clienti spiegando che cosa è successo, come ci si sta muovendo, quali i rischi specifici, perché il breach è diventato un rischio aziendale. Il secondo, meno scontato, coinvolge l’integrità del sistema. Supponiamo che un criminale rubi del codice sorgente e scopra delle vulnerabilità, lui non ha accesso ai dati del cliente, ma potrebbe disporre di una backdoor per accedere alla sua infrastruttura di sicurezza.
D. Quali i rischi?
R. C’è la possibilità che un cliente venga attaccato con successo, cosa che ha ripercussioni importanti per il cliente – che ha la priorità – e per l’organizzazione responsabile, che va incontro a un rischio legato alla sua reputazione. Basta infatti un unico breach con esito positivo effettuato su un cliente per minare per sempre la fiducia – faticosamente guadagnata negli anni – in un’azienda. E a complicare le cose c’è il fatto che è facile capire se un’azienda è stata ‘bucata’ o no, quello che invece è molto difficile è capire esattamente cos’ è successo, quale l’esposizione e che cosa fare.
D. Perché è così difficile?
R. Il pubblico si aspetta che tutte le informazioni arrivino contestualmente. Il destinatario di una comunicazione di un incidente ritiene che, se sai che c’è qualcosa che non va, tu sappia esattamente perché, cosa fare e quale impatto avrà. Ma non funziona così, nella maggior parte dei casi non si hanno immediatamente tutte le risposte.
D. Quale il consiglio che può dare a un pubblico di C-level, tipicamente non tecnico, in caso di crisi?
R. Innanzitutto bisogna esporsi in prima persona. Non si può lasciare questo compito a una terza parte perché viene interpretato come atteggiamento difensivo, perdente in partenza. E poi bisogna essere prepararti e avere pronto un piano di crisi. Infine direi che non è il momento per ‘farsi vedere’, è necessario essere umili e modesti e non cogliere questa occasione per mettersi in mostra.
