Журналист, инсайдер, тейблтоп

Горячие споры развернулись вокруг инцидента с шифровальщиком, переросшего в кризис. Масла в огонь подливал вредный журналист, предположительно, в сговоре с инсайдером атакованной компании. Слава богам, это были киберучения в комьюнити CyberCamp, где я на той неделе побывала приглашенным экспертом. Офигенный опыт и чистый кайф от наблюдений за участниками. Как всё было, рассказываю.

Tabletop в цифрах:
5 дней
5000 + численность комьюнити молодых ИБ-специалистов
2 900+ сообщений
288 мемов
9 голосований

В чате участникам порционно выдавалась драма вокруг смоделированного развития киберинцидента: от обнаружения аномалии до шифрования примерно всего, до чего дотянулись ручонки воображаемых злодеев.

Для большей напряженности на компанию давил журналист. Он мог быть связан с кем-то из подрядчиков, а то и сотрудников, ибо обладал инсайдерской инфой, которую методично публиковал в неназванном СМИ. После первой заметки перед участниками возникла дилемма:

делать полноценный публичный антикризис
дать короткое заявление
уведомлять только клиентов, не выходя на широкие медийные просторы.

Роскошь молчать соблазнила не всех. В голосовалке перевесил второй вариант, но были и те, кто был готов к крестовому походу в медиа с детальным разбором случившегося. И это в первой коммуникации. Смело, чего и говорить.

Я ворвалась в чат с хрестоматийным: ребята, если ваш инцидент в паблике, выбирать молчание уже поздняк.

Первое заявление не должно быть техническим романом с эпилогом от SOC. Его задача — зафиксировать позицию компании, показать, что ситуация управляется, объяснить, куда обращаться, и не наобещать того, что потом придется опровергать с бледным лицом. Поэтому наиболее правильный — вариант 2.

Орги оказались ребятами с PR-амбициями, поэтому предложили участникам еще и антикризисную коммуникацию сформулировать. Из интересного:

Часть сходу заявила, что сервисы “работают штатно”. Увы, через час ваше заявление может превратиться в тыкву. Посоветовала формулировать аккуратнее: “на данный момент основные сервисы доступны, однако возможны временные перебои”.

Ограничение источников информации только официальными каналами компании указали многие. Но в голове мы все равно держим факт, что источников будет много. Главное, чтоб наш — доминировал.

С эмпатией оказалось сложновато: целый один участник принес извинения, умница.
Мы можем не знать весь масштаб инцидента, но мы точно знаем, что ничего приятного мы сейчас не сообщаем, а значит делать это нужно по человечески.

Контакты и апдейты были не у всех: куда писать клиентам, куда обращаться СМИ, где получать обновления — это простой способ снизить хаос и показать, что вы открыты к вопросам. Конечно, не забывая на них отвечать.

Часть участников не стала подтверждать инцидент до завершения расследования. А в одном из заявлений соседствовали “аномальная активность” и “инцидент”. Тут осторожнее. Либо вы уже признаете инцидент, либо пока говорите о признаках несанкционированной активности, которую расследуете. Но если выбрали второе, не забывайте потом дать пояснения: что это было?

Разок мы чуть не раскрыли стратегию сдерживания угрозы. Так не делаем, наши соцсети читают не только папищеки, но и злодеи. А им мы не помогаем.

При этом участники не забыли сказать про уведомления, "привлекли" внешних DFIR-специалистов, не "слили" подрядчика и грамотно структурировали свой антикризис.

А как спорили, искали баланс между технической неопределенностью и необходимостью говорить в паблике. Это и есть суть антикризиса при киберинциденте. Елей моему сердечку!

Как по мне, можно смело завидовать их пиар-специалистам. Не ИИ отнимет у пиарщиков работу Ну а кроме шуток, спасибо комьюнити СyberCamp, браво участникам киберучений и мега-респект гуру тейблтопа Аскару!

Было огненно! Всем кризисная готовность!