Молчание ребят

Можно ли промолчать в СМИ, что у тебя кибератака?

И после PhDays, и почти на каждой консультации по антикризису мне постоянно задают этот вопрос.
Ну, говорю, пока последствия вашего молчания не вылились в паблик, вы можете быть безмолвным как зелёный газон. Но потом вам придется отвечать, почему молчали.

Например, как это сделала атакованная хакерами крупная американская компания F5 (не путать с чисто российской F6), поставляющая софт и в гос, и бизнесу. По-моему вижу такой лайфхак впервые.

Заценим лор: вас ломают в августе. Раскрываете вы это публично только в октябре. Кажется, как будто вы сели не в ту машину времени и заслуживаете порицания, штрафов и обрушения доверия клиентов, партнеров и коммьюнити. Верно? Но F5 действовала тоньше.

Выйдя с антикризисным заявлением, признав атаку и обвинив некую неназванную группировку, связанную с неназванным государством, компания объяснила двухмесячное молчание просто: «по разрешению регулятора», то есть Министерства юстиции США.

А так можно было? Похоже, да. Выходит, «молчание по санкции регулятора» легализует затяжную паузу в публичных коммуникациях.

Дальше — мув интересный. F5 признаёт, что атакующие имели долгосрочный доступ к среде разработки и внутренним системам, откуда — внимание — украли исходный код и сведения о нераскрытых уязвимостях. Также были скачаны конфигурационные файлы части клиентов. За такое СМИ обычно устраивают бизнесу публичное аутодафе.

На этих новостях CISA — Агентство по кибербезу США — выпустила специальную директиву с предупреждением о том, как атакующие могут использовать украденные у F5 данные.

Однако компания успевает прикрыть голову от шитсторма: одновременно с раскрытием атаки, она запускает патчи для своего софта, сигнализируя рынку, что не только выводы, но и конкретные шаги она сделала.

По итогу, F5, конечно исполняет танцы на горящей сковороде, но ее стратегия создает ощущение продуманности, особенно если учесть тяжесть ситуации. По шагам:

Промедлили с раскрытием, но объяснили разрешением регулятора — юридически корректно, но не без потери доверия
Не назвали страну и группировку — избежали политизированности
В СМИ не комментируют ничего за пределами стейтмента — контролируют нарратив
Патчи для подломленных систем публикуют одновременно с раскрытием — потенциально снижают негатив
Антикризисный стейтмент, хоть и поздний, зато детальный — раскрывают текущие результаты расследования инцидента, меры и дают инструкции для защиты.

Берём лайфхак на заметку — если уж молчать, то с разрешения Как вам кейс?

#антикризис #кибербез