Qu’est-ce qu’un RSSI traitant une violation de données et un enfant de 10 ans qui vient de rompre accidentellement la fenêtre de son voisin ont en commun ? Chacun a un choix difficile sur ce qu’il faut communiquer ensuite et comment. Alors que de plus en plus de dirigeants d’entreprise apprennent, un défaut de communication honnête et de possession de vos erreurs pourrait revenir pour vous mordre plus tard.
Uber sait tout cela trop bien.
En octobre dernier, le ministère de la Justice des États-Unis a condamné Joe Sullivan, ancien chef de la sécurité de la société, pour avoir menti sur un piratage de 2016 , où des voleurs ont volé des données sur environ 57 millions de clients. Sullivan a orchestré un paiement en bitcoins de 100 000 USD pour garder les pirates informatiques silencieux, cachant ensuite le piratage des parties prenantes externes et de la nouvelle direction d’Uber, a déclaré le Département.
Les pirates ont plaidé coupables en 2019, et au moment de cet écriture, Sullivan attend une peine qui pourrait le voir faire face à huit ans de prison.
Communiquer tôt et souvent
Alors que peu d’entreprises vont jusqu’à la dissimulation criminelle, beaucoup essaieront d’en soutirer les conséquences. C’est un jeu dangereux, déclare Jon Collins, vice-président de la recherche chez GigaOm, une société d’analystes.
« La couverture est également un risque. Et la manière dont vous atténuez cela, d’un point de vue commercial, est de « gâcher très rapidement ».Jon Collins, vice-président de la recherche, GigaOm
« Chaque risque est un risque commercial », déclare-t-il, ajoutant que les dissimulations montrent un manque de réflexion conjointe. « Cela se produit parce qu’ils le voient du point de vue de la sécurité et non du point de vue du risque, mais la couverture est également un risque. Et la manière dont vous atténuez cela, d’un point de vue commercial, est de « gâcher très rapidement ».
Parfois, une communication tardive et peu claire découle d’un manque de préparation. Lors d’un événement du Wall Street Journal fin novembre, Todd McKinnon, cofondateur et directeur général de la société d’authentification d’identité Okta, a exprimé ses regrets concernant la gestion d’un incident de cybersécurité en 2022.
L’attaque contre l’un des fournisseurs d’Okta, Sitel, s’est produite en janvier, mais Okta n’a admis l’incident qu’en mars après que le groupe de piratage Lapsus$ a rendu public les détails sur son propre compte Telegram, y compris des captures d’écran de systèmes compromis.
Le directeur de la sécurité d’Okta, David Bradbury (aucune relation avec ce journaliste), a répondu en déclarant que les clients n’avaient pas besoin de prendre de mesures correctives. Cependant, Lapsus$ a continué à harceler l’entreprise en ligne en avertissant que ses clients étaient la cible, et les clients sont devenus publics avec leur frustration face au manque de clarté (ou, dans certains cas, au manque de communication directe d’Okta).
Okta a ensuite révélé que 366 clients auraient pu être affectés par l’attaque, et Bradbury a pointé le doigt sur Sitel. « Je suis très déçu par la longue période qui s’est écoulée entre notre notification initiale à Sitel en janvier et l’émission du rapport d’enquête complet il y a seulement quelques heures », a-t-il déclaré, mais il a également admis plus tard que l’entreprise aurait dû agir plus rapidement pour communiquer après avoir obtenu ce rapport.
« Il est difficile d’être franc sur les choses, en particulier lorsque vous n’avez pas toutes les informations », déclare Jenai Marinkovic, vCISO chez Tiro Security et membre du groupe de travail sur les tendances émergentes de l’ISACA. Mais cela ne devrait pas empêcher les entreprises d’évaluer quelles informations sont suffisamment fiables pour les partager et d’être transparentes avec elles, même si elles doivent remplir les champs vides plus tard au fur et à mesure que leur enquête progresse. Expliquez simplement ce que vous savez initialement et communiquez ce que vous allez faire ensuite, conseille-t-elle. « Le monde a tendance à être plutôt tolérant si vous êtes en avance sur les choses, il est donc essentiel de faire passer le bon message dès que possible. »
Une communication robuste repose sur une évaluation robuste des risques
Mais une fois que vous avez résolu de communiquer un incident de cybersécurité plutôt que de l’ignorer ou de le balayer sous la moquette, comment fonctionne cette confession ? Commencez par une évaluation solide des risques, déclare Marinkovic.
« Votre évaluation des risques aurait dû identifier les types les plus probables de violation, les acteurs malveillants et les processus qu’elle affecte, ainsi que toutes les personnes en aval qui sont affectées. »Jenai Marinkovic, vCISO, Tiro Security
La communication fait partie intégrante d’un guide plus large de réponse aux cyber-incidents qui doit être adapté pour faire face aux différentes menaces. Vous pouvez réagir et communiquer différemment dans le cadre d’une attaque DDoS ou de rançongiciel que dans une situation de vol d’informations qui expose les clients à un risque financier.
« Votre évaluation des risques aurait dû identifier les types les plus probables de violation, les acteurs malveillants et les processus qu’elle affecte, ainsi que toutes les personnes en aval qui sont affectées », déclare-t-elle. « Donc, si vous effectuez une évaluation appropriée des risques, cela devrait alimenter votre plan de communication. »
À partir de là, vous devez communiquer uniquement des informations précises. Cela signifie faire la distinction entre communiquer tôt afin que vous apparaissiez sous le contrôle de la situation tout en étant sûr de vos faits, déclare Paul Watts, analyste distingué au Forum sur la sécurité de l’information.
« Cela peut parfois être un problème si vous pensez que vous devez obtenir cette grève préventive, puis vous réalisez que les circonstances de l’incident sont meilleures ou pires, ce qui signifie que vous devez vous repositionner », dit-il.
Rien ne détruit la confiance plus rapidement pendant une violation de données que des informations incohérentes. L’entreprise de télécommunications britannique TalkTalk a attiré des critiques après avoir publié des déclarations apparemment contradictoires sur le vol de données de clients en 2015, qui ont fait égratigner la police britannique avec les clients.
Une communication cohérente implique de discuter étroitement et fréquemment avec les ingénieurs et le personnel informatique. Ils vous aideront à trier les faits connus à partir du développement de théories afin que vous ne puissiez communiquer que ce dont vous êtes certain.
Combler l’écart linguistique
Discuter avec les ingénieurs est un bon exemple de l’importance d’une approche pluridisciplinaire, explique Marinkovic. Traduire les données d’ingénieur en quelque chose que les clients peuvent comprendre peut être difficile pour les professionnels de la communication interne sans formation technique. Il faut des questions persistantes et incisives pour recueillir des faits pertinents qui peuvent être relayés aux régulateurs et aux parties prenantes concernées.
« Votre équipe GRC [gouvernance, risque et conformité] comprend les contrôles et a tendance à être plus expérimentée dans la traduction de la technologie pour l’entreprise », déclare-t-elle. Ils doivent être dans la salle lors de l’élaboration de stratégies de communication externes.
Surveillez les fuites
Il est essentiel de s’assurer qu’un seul canal de communication externe est essentiel, déclare Watts, qui avertit les organisations de la nécessité de se méfier des fuites internes. Il est essentiel de former les employés à ce qu’ils peuvent et ne peuvent pas dire pendant un incident. « Autrement, cela crée des opportunités de performance et de divulgation accidentelle, qui peuvent ensuite couper le grain d’une stratégie de communication formelle que vous pourriez avoir », avertit-il.
Une communication inappropriée ne signifie pas seulement des conversations avec des journalistes. Si l’attaquant d’une entreprise possède un compte Twitter, il peut être tentant que les employés intrigués les suivent à partir d’un compte personnel. Même cela peut augmenter la surface d’attaque de l’organisation et créer des problèmes pour l’équipe de sécurité interne, explique Marinkovic.
Les victimes d’une violation de données font souvent appel à des experts en criminalistique tiers pour aider à tracer et résoudre le problème. L’approvisionnement des communicateurs professionnels qui connaissent les scénarios de cybercrise peut être tout aussi précieux, déclarent les experts.
« L’engagement de la bonne société de relations publiques vous aide à faire passer ce message d’une manière authentique », déclare Marinkovic. Personne ne veut savoir à quel point ses données sont importantes pour vous après qu’un voleur les ait plafonnées sur le dark web. Au lieu de cela, un compte rendu clair et professionnel de ce qui s’est passé et de ce que vous faites pour le résoudre est la meilleure façon d’avancer, et un peu d’humilité authentique ne serait pas préjudiciable.
