Riprendiamo l’articolo “Come approcciare Business Continuity e Cyber Security sinergicamente” pubblicato lo scorso 27 aprile per approfondire il tema della comunicazione in caso di crisi. Lo scopo di questo articolo è quello di tratteggiare come la comunicazione di crisi possa diventare parte integrante dei processi di gestione degli incidenti fisici ma soprattutto “logici” di ogni organizzazione, anche in un’ottica di conformità alle recenti disposizioni di legge in ambito ‘privacy’ e ‘data breach’.
L’accentuata dipendenza di ogni organizzazione dai sistemi informativi, i sempre più rapidi cambiamenti e le evoluzioni nel mondo digitale, la complessa interdipendenza tra sistemi IT affidati anche a terzi e gli onnipresenti attacchi cyber rendono molto probabile che in ogni organizzazione prima o poi si verifichi un incidente, anche in ambito IT, che meriti la definizione di ‘crisi’.
Le organizzazioni in grado di contenere efficacemente i danni conseguenti una crisi che impatti sui sistemi informativi sono ancora poche, ancora meno sono quelle in grado di attivare tempestivamente una corretta strategia di crisis communication.
Tutto questo fa riflettere, soprattutto considerando che fino al 70% del valore di un’azienda è determinato dagli “asset” intangibili (Fonte: https://www.cuoaspace.it/2012/05/crisis-management-comunicare-in-situazioni-di-rischio-e-di-crisi.html). È chiaro quindi che l’impatto di una crisi può essere molto significativo dal punto di vista della Brand Reputation e, di conseguenza, del valore complessivo dell’azienda.
Questo impatto potrebbe essere contenuto se un’organizzazione adottasse una corretta strategia di comunicazione in caso di crisi, il che salvaguarderebbe anche la fiducia degli stakeholder, elemento questo indispensabile per la crescita e la sopravvivenza delle imprese. E’ noto che la fiducia va conquistata nel tempo e difesa sempre, come sostenuto dell’imprenditore ed economista statunitense Warren Buffett: “Ci vogliono vent’anni per costruire una reputazione e 5 minuti per distruggerla”.
La crisis communication nasce originariamente nell’ambito della gestione dei disastri fisici, cioè quando un evento naturale come un terremoto o un incidente creato dall’uomo, come un incendio o una bomba, colpisce un asset fisico: un edificio, un data center, un magazzino. La crisis communication è spesso considerata parte integrante del Business Continuity Management Process, ma suoi risvolti sono più ampi e hanno punti di contatto anche con altri sistemi di gestione e con altri requisiti normativi.
Indipendentemente dalla causa della crisi, è opportuno che le organizzazioni considerino un insieme di elementi invarianti e fondamentali della crisis communication:
Gli scenari emergenti di crisi sono la conseguenza diretta dell’inscindibile legame fra l’azienda, le informazioni, i sistemi digitali e il complesso framework normativo ad essi collegato. Nel seguito di questo paragrafo sono presentati alcune possibili azioni da attuare per una corretta strategia di comunicazione in caso di:
A differenza di un evento di crisi riconducile alla violazione della riservatezza di un dato di “business”, le azioni da mettere in campo nel caso di violazione della riservatezza di dati personali, i così detti data breach, devono seguire delle precise indicazioni di legge. Per non incorrere nelle sanzioni previste dal GDPR, è assolutamente necessario predisporre un processo aziendale che garantisca l’effettuazione di determinate comunicazioni, la cui attuazione è obbligatoria e non eludibile.
Infatti, il GDPR, all’articolo 33 “Notifica di una violazione dei dati personali all’autorità di controllo” chiede esplicitamente al titolare del trattamento, ovvero la persona fisica o l’organismo che determina le finalità e i mezzi del trattamento di dati personali, di effettuare una notifica all’autorità di controllo entro 72 ore dal momento in cui viene a conoscenza di una violazione dei dati personali. Tale notifica all’autorità di controllo deve:
Il successivo articolo 34 “Comunicazione di una violazione dei dati personali all’interessato”, richiede al titolare del trattamento, qualora si verificasse una violazione dei dati personali con un rischio elevato per i diritti e le libertà delle persone fisiche, di effettuare una comunicazione a tutti gli interessati. Tale comunicazione dovrà “[…] descrivere con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contenere almeno le informazioni e le misure di cui all’articolo 33, paragrafo 3, lettere b, c e d”.
Un incidente di sicurezza delle informazioni può causare la divulgazione di informazioni aziendali rilevanti e determinare una situazione di crisi. La violazione della riservatezza in un contratto con un partner strategico, ad esempio, potrebbe mettere a conoscenza di concorrenti dei segreti su sistemi d’arma, accordi tra Stati, o ancora informazioni su una molecola in fase di sviluppo in ambito farmaceutico.
Nonostante nella norma ISO/IEC 27001 la comunicazione sia un requisito presente e descritto al punto 7.4, non è esplicitamente richiesta l’esistenza di un processo di crisis management né, conseguentemente, un processo di crisis communication. I controlli di sicurezza pertinenti la gestione degli incidenti di sicurezza delle informazioni sono infatti raggruppati nel security control “A.16 Information security incident management”, e la comunicazione dell’incidente è indicata nell’obiettivo di sicurezza del controllo stesso.
Inoltre, il requisito 7.4 richiede di determinare tutte le necessità per le comunicazioni interne ed esterne, individuando:
La corretta e meticolosa implementazione di questo requisito è certamente sufficiente a definire un processo di crisis communication.
Non solo cyber attack, ma anche eventi fisici di varia natura come un incendio, l’allagamento o un generico guasto, possono comportare il blocco dei sistemi informativi e la conseguente indisponibilità di processi e servizi critici.
Per questo motivo, dagli anni ’70 in poi le aziende si sono dotate di procedure di continuità operativa, che il più delle volte convergono verso un piano di Disaster Recovery, atto a ripristinare i sistemi IT a seguito di un grave incidente. Le prime linee guida su come realizzare tale procedure e soluzione risalgono a quegli anni e furono pubblicate con il nome di “Professional Practices” da parte del Disaster Recovery Institute International. Negli anni successivi l’ambito di tali procedure di continuità fu esteso all’intera organizzazione, assumendo il nome di Business Continuity Plan.
La presenza di un Business Continuity Plan è certamente utile per garantire il successo di un processo di crisis communication. Per questo motivo, anche nell’ambito degli incidenti di sicurezza delle informazioni, che coinvolgano i sistemi informativi, è spesso ritenuto necessario, anche se non cogente, dotarsi di un sistema di gestione della continuità operativa.
Per l’implementazione di tale sistema di gestione le organizzazioni dovrebbero conformarsi alla norma ISO 22301, che rappresenta lo standard di riferimento di tale materia, nel cui paragrafo 8.4.4, dedicato al contenuto del business continuity plan, è citata la necessità di gestire adeguatamente i media, predisponendo quanto necessario, ad esempio comunicati stampa e nominando un portavoce in grado di comunicare efficacemente con i media o delegando tale responsabilità a una società esterna, come uno studio di public relations.
Anche il regolamento europeo GDPR richiama l’utilità di predisporre un sistema di business continuity: nello specifico l’articolo 32 recita:
“[…] il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire […] la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico; […]”
All’interno del GDPR non è specificata, però, la richiesta di un processo di crisis communication.
Altri standard in ambito BCM, quali le Professional Practice DRI citate in precedenza, danno maggiori informazioni in tal senso. La Professional Practice 9, ad esempio, ha il duplice obiettivo di:
Inoltre, nelle Professional Practice viene specificato puntualmente il ruolo dell’esperto coinvolto e sono descritte le attività che devono essere implementate per raggiungere l’obiettivo.
In conclusione si può osservare come non si possa prescindere da una chiara e precisa formulazione di un processo aziendale di crisis e communication management, del tutto integrato con l’insieme dei processi aziendali, che assegni puntualmente ruoli e responsabilità, che dettagli operativamente la sequenza di operazioni che devono essere attuate in caso di crisi e che si assicuri dell’efficacia complessiva del processo, sottoponendolo a periodici test di performance. Tutto questo non può essere evidentemente improvvisato e lasciato a libere interpretazioni: l’adozione di standard internazionali, la conformità alle normative vigenti rappresentano un vincolo ineludibile.
A cura di: Matteo Salvaggio
Arrestato a Parigi il CEO di Telegram: cosa significa in termini di responsabilità delle piattaforme…
Introduzione In un contesto in cui la digitalizzazione sta crescendo costantemente, è importante sapere come…
Casi come Cellebrite Ufed v. Signal pongono in luce come la cybersecurity sia un fattore…
I Big Data stanno cambiando le regole del commercio online. Finalmente le aziende possono comprendere…
Dal punto di vista tecnico-operativo, le indagini di digital forensics vengono svolte utilizzando specifici strumenti…
Nell’ambito dell’email security esistono diversi protocolli volti a garantire l'autenticità, l'integrità e la riservatezza delle…