Порция краткости

Почему при киберинциденте — лучше краткая коммуникация, чем никакая

На кибербезных полях иногда встречаю скептически настроенных безопасников, которые говорят: смолчишь — за умного сойдешь, не качай лодку — она и качаться не будет, инцидент любит тишину. Кто здесь прав?

С прошлой пятницы, друзья, почитываю новости о киберинциденте Trellix, крупного кибербез-вендора, наследника FireEye и McAfee с 53К корпоративных и госклиентов в 185 странах мира.

И вот атакующие получили доступ к "порции" репозитория исходного кода Trellix, о чем компания заявила на своем сайте (смотрим скриншот). Несмотря на запредельную краткость, мы утащим этот пример в свой ящик PR-инструментов с пометкой: "как сообщаем об инциденте, когда сказать ничего не можем". Почему?

Пиарщики Trellix выпустили, как пишет Dark Reading, a terse statement, что переводится как немногословный, сжатый, иногда до степени резкости или грубости

Заявление Trellix, начиная с заголовка, нейтрально, как вкус гречки, его цель — не рассказать о деталях, которых в нем ноль, но оперативно решить ряд задач:

Прозрачность, снижение рисков
Компания не публичная и могла бы ограничиться уведомлениями в закрытом режиме. Но мы тут про ИБ, доверие, защиту. Если смолчать о доступе к коду своих продуктов, а потом история всплывет сама, ущерб будет кратно сильнее.

Роль первоисточника в СМИ
Пошерстила Интернеты, не нашла публикаций, где СМИ не ссылались бы на этот микро-стейтмент. А значит — инфополе пока за Trellix, несмотря на обилие икспертов-комментаторов.

Снижение риска первичного раскрытия третьей стороной
Пятница, у вас шашлык, а пиарщики Trellix выпускают неприятную, прошедшую ряд согласований новость. Потому что в паблике нужно оперативно закрепить свой нарратив, пока этого не сделал кто-то еще.

Обещание апдейта
Вендор ассоциирует себя с широким кибербезным коммьюнити и обещает поделиться деталями после расследования. Вроде дежурно звучит. Но этот тейк — обязывающий. Trellix осознает внимание к своему кейсу, тревогу клиентов, партнеров, ИБ-коммьюнити и обозначает следующую точку для коммуникаций, пусть и вилами по воде.

Меры. Тут не густо. DFIR-бригада, помимо своей, работает, правоохранители подключены. Пока признаков того, что были затронуты процесс выпуска или распространения исходного кода, как и использование его злодеями, нет. Но то ли еще будет.


Инцидент-то, может, и любит тишину, только вы далеко не всегда можете на это влиять. А когда решите выйти с опровержениями, что Интернет не прав, будет поздновато даже для Боржоми.

Поэтому повторюсь: молчание — хуже неполноты. Оно не защитит вашу репутацию, а подкосить — может.

Trellix'у традиционно пожелаем сил, злодеев изгнать и код сберечь!

#антикризис #кибербез