Existe uma boa chance de que qualquer empresa possa ter seus dados invadidos por cibercriminosos num futuro próximo. Em 2018, quase metade das empresas no mundo todo tiveram ao menos um caso de vazamento de dados, incluindo marcas gigantes e reconhecidas mundo afora, como Marriot e British Airways.
“As empresas estão finalmente começando a se preocupar não só com a prevenção de vazamentos de dados, mas planejando de antemão para limitar seus impactos.”
Essa mudança de foco envolve estratégias clássicas, como adquirir soluções de segurança extra, para detectar ataques mais cedo, contratar funcionários especificamente treinados para responder incidentes e treinar equipes para reagir de maneira mais eficiente. Entretanto, isso também gera novas oportunidades na área mais propensa a falhar nesses momentos: a comunicação de crise pós-vazamento.
Reconstruindo uma reputação
Consumidores estão cada vez mais preocupados com a privacidade dos seus dados. 83% dos consumidores estadunidenses e 44% dos britânicos dizem que deixam de comprar em marcas que tenham sofrido vazamento de dados durante meses. Alguns deles nunca voltam.
A necessidade de reconstruir reputações fez as empresas estadunidenses gastarem, em média, US$ 161 mil em serviços de relações públicas depois de sofrerem um vazamento.
O que é uma boa comunicação de crise durante um vazamento de dados?
A maioria dos profissionais de segurança digital concorda que a resposta ideal para um caso de vazamento de dados deve incluir todas as áreas de uma empresa, e não só o T.I.
Apesar disso, muitas empresas têm dificuldade para responder com agilidade suficiente e passar informações relevantes que deem fim a rumores. Porém, planejar uma resposta com antecipação pode ajudar a restaurar rapidamente uma boa reputação, caso isso aconteça.
A Kaspersky, por exemplo, identificou um ataque avançado em larga escala à rede interna em 2015. Com um trabalho cooperativo e coordenado entre diferentes departamentos, foi possível controlar a comunicação e reconstruir a reputação de maneira transparente e responsável.
Isso porque baseamos nossa resposta em 5 princípios:
1. Envolva todos no planejamento de gestão de crise
Empresas devem planejar como elas querem se comunicar sobre qualquer situação que possam enfrentar. Problemas de segurança digital são um desses casos.
Seu planejamento de gestão de crise deve incluir pessoas de todos os departamentos. Isso significa gente da segurança digital, TI, jurídico, atendimento ao cliente, marketing e comunicação, só para começar.
2. Eduque todos os funcionários sobre cibersegurança
Construir uma cultura de conhecimento sobre cibersegurança tem benefícios que vão além da resposta a vazamentos de dados.
“Todos os envolvidos num processo de resposta a incidentes de cibersegurança precisam, no mínimo, ter um conhecimento básico sobre o assunto.”
3. Tenha planos diferentes para incidentes diferentes
Serão necessárias soluções diferentes para cada tipo de problema. O impacto de uma ameaça avançada persistente (APT), que faz com que criminosos cibernéticos tenham acesso às atividades de uma empresas são bem diferentes de um ransomware, que pode paralisar completamente suas atividades. Então, é importante usar um modelo de ameaças para identificar os cenários mais prováveis para os quais se preparar.
4. Prepare uma alternativa de comunicação interna
Se os hackers comprometerem os e-mails, telefonia por IP, direct messaging e chamadas de áudio e vídeo, será necessário estabelecer canais seguros para manter o contato entre os funcionários e planejar uma resposta.
Nessa situação, os funcionários envolvidos no processo devem usar canais criptografados. Prepare com antecedência funcionários que não sejam especialistas na área mostrando a necessidade de comunicação criptografada, como instalá-la e usá-la.
5. Seja direto e específico.
Quando não têm dados suficientes, as pessoas tendem a especular. Quando estiver tratando um incidente, diga exatamente o que aconteceu, como isso afetará clientes e parceiros e o que está sendo feito para solucionar o problema.
Toda tarefa é urgente quando se responde a um incidente, mas somente a equipe especializada de TI pode explicar os detalhes do caso de forma que o setor de relações públicas da empresa possa escrever e divulgar um comunicado preciso e informativo. Reportar essas informações deve ser uma prioridade do TI, tanto quanto minimizar os danos do ataque.
O sucesso da Kaspersky e de outras empresas na gestão de crise em casos de incidentes de grande porte mostra que uma boa comunicação ainda pode salvar o dia, até quando os hackers conseguem o que querem. E que, assim como em muitas outras situações no mundo dos negócios, planejamento é algo fundamental.
