Søkelys: Når et cyberangrep slår til: Beskyttelse og reparasjon av merkevareomdømme

Av gjesteforfattere: Sean Wood og Katherine Goodyear

Velkommen til den nyeste utgaven av Spotlight. Spotlight er vår måte å dele innsikt og perspektiver fra våre strategiske partnere – advokater, forsikringsselskaper, risikostyringssjefer og krisekommunikasjonseksperter på tvers av bransjer – om problemstillinger som potensielt kan påvirke et selskaps syn på hendelser i markedet og krisehåndtering.

I denne utgaven får vi selskap av Sean Wood, konserndirektør, og Katherine Goodyear, kundedirektør hos Weber Shandwick, for en oversikt over kommunikasjon innen nettsikkerhet. Vi utforsker hva selskaper bør gjøre for å planlegge for en hendelse, og de praktiske tiltakene de bør ta for å best minimere virkningen, beskytte og forbedre merkevarens omdømme dersom en hendelse skulle oppstå.

Forord av Chris Harvey, SVP for kundeservice hos Sedgwick:

Les videre for mer innsikt fra Sean Wood og Katherine Goodyear.

Nettsikkerhetshendelser er blant de mest alvorlige forretnings- og omdømmetruslene bedrifter står overfor, og kan raskt svekke tilliten til viktige interessenter – fra kunder til ansatte og allmennheten. I tillegg er de vanskelige å løse, kostbare og raskt voksende.

Nettkriminalitet forventes å koste omtrent 6 billioner dollar i skader globalt i 2021, en dobling fra 2015 – og ransomware-angrep skjøt opp med 151 % i første halvdel av 2021, sammenlignet med hele 2020. Den jevne økningen i disse hendelsene, hvor sofistikerte de er og deres potensielle operasjonelle og økonomiske innvirkning understreker hvor viktig det er for selskaper i alle bransjer å være forberedt.

Faktisk avslørte en fersk global undersøkelse utført av KRC Research og Weber Shandwick blant ledere i 12 land at cybersikkerhet og personvern er de to største bekymringene for ledere når de tar viktige forretningsbeslutninger.

Komme seg fremover ved å planlegge fremover

Selv om folk forstår at nettsikkerhetshendelser skjer, dømmer de ofte bedrifter og organisasjoner ut fra hvordan de reagerer – og holder dem ansvarlige når informasjon eksponeres eller misbrukes. Av denne grunn bør den viktigste prioriteten for bedriften være å få en plan for hendelsen på plass, slik at bedriften kan reagere raskt på et angrep.

Ikke bare er denne planleggingen det riktige å gjøre for å beskytte sensitiv personlig og kommersiell informasjon og merkevareomdømme, men kunder, forsikringsselskaper og myndighetene understreker viktigheten av å styrke hendelsesresponsplaner. Nylig holdt USAs president Joe Biden et møte der han beskrev cybersikkerhet som en «sentral nasjonal sikkerhetsutfordring», og oppfordret privat sektor til å styrke landets cybersikkerhet i partnerskap og individuelt, med vekt på å løse mangelen på cybersikkerhetskompetanse. Etter møtene i Counter-Ransomware Initiative som ble holdt i oktober av Det hvite hus' nasjonale sikkerhetsråd, utstedte over 30 land og EU en felles uttalelse om samarbeid for å forbedre nasjonal motstandskraft, motvirke ulovlig finansiering, forstyrre løsepengeviruskriminelle og bruke diplomati som et verktøy for å motvirke løsepengevirus.

I dette tilfellet betyr planlegging:

• Utvikling eller oppdatering av en hendelsesresponsplan. Disse planene, som dekker både operative og kommunikasjonsmessige tiltak, bør integreres og skissere hvem som må involveres, roller og ansvar, risikonivåer og terskler, og angi en prosess for rask kommunikasjon til berørte interessenter.
• Etablering av scenarioplanlegging for potensielle risikoer og hendelser. Scenarioplanen bør inneholde situasjonsspesifikke hensyn og veiledning, samt maler for interessentmeldinger som raskt kan oppdateres med fakta om den faktiske situasjonen dersom en hendelse oppstår.
• Testing av planen. Å gjennomføre realistiske simuleringsøvelser er en viktig del av planleggings- og forberedelsesprosessen for å teste organisasjonens evne til å fungere i henhold til planen og protokollene. Det vil også identifisere hull i prosesser som må rettes før en reell hendelse inntreffer.
• Investering på forhånd. Noen organisasjoner føler kanskje at de ikke kan investere på forhånd for å ha et beredskaps-kallsenter eller andre løsninger på plass, men det er den beste måten å unngå å være uforberedt på. Denne investeringen kan omfatte å etablere et kallsenter for varsling om tap/innbrudd. Det kan også involvere et sekundært, separat driftet informasjonshub eller mikronettsted, som raskt kan slås på for å kommunisere med interessenter via alternative kanaler i tilfelle du mister tilgangen til systemene dine.

Når en hendelse inntreffer, er bedriften eller organisasjonen din bedre forberedt på å håndtere situasjonen, aktivere planen som er på plass og fokusere på å redusere enhver risiko.

Implementering av planen

Når en hendelse inntreffer, bør selskapet umiddelbart aktivere sin regelmessig oppdaterte hendelsesplan. Vær transparent, men ikke forutse fakta. Dataetterforskning tar ofte tid, så det er viktig å kun kommunisere bekreftede fakta og erkjenne at situasjonen er flytende og kan endre seg. For å minimere påvirkningen, beskytte og potensielt forbedre merkevarens omdømme, er det flere hensyn å huske på:

• Oppfatning: Ofte er oppfatningen at et selskap eller en organisasjon er ansvarlig selv om de ikke er ansvarlige for datainnbrudd. Interessenter kan og vil tilgi deg for sikkerhetsbrister, uflaks eller begge deler. Men å forsøke å avlede skylden kan slå tilbake. De som er berørt av uhellet ser det enkelt: De stolte på deg med informasjonen sin, og du mistet den.
• Kontroll: Du (bedriften eller organisasjonen) har kanskje ikke kontroll over tidspunktet for offentliggjøring. Det er mange faktorer som kan fremskynde responsen din. For eksempel har land og amerikanske stater forskjellige krav til offentliggjøring. Mediesyklusen eller kommentarer på sosiale medier kan også tvinge det frem. Hackere lekker konfidensiell informasjon til nettet, som deretter plukkes opp av cybersikkerhetsreportere og bloggere. Ansatte kan også utilsiktet lekke sensitiv informasjon, noe som forverrer problemet.
• Forpliktelse: Bedrifter og organisasjoner kan ha kontraktsmessige forpliktelser til å opplyse om hendelsen. I økende grad inkluderer kontrakter med leverandører og partnere klausuler som krever at selskaper opplyser om et brudd, uavhengig av regulatoriske krav. Hvis selskapet er børsnotert, kan det være vesentlig innvirkning og relaterte hensyn som må tas i betraktning, i tillegg til regulatoriske opplysninger.
• Kommunikasjon: Ikke alle hendelser krever proaktiv kommunikasjon av hele situasjonen til alle målgrupper. Beslutningen om å være proaktiv eller reaktiv og hvilke målgrupper man skal forholde seg til er nyansert og ikke en universalmodell. Selv om det ikke finnes kontraktsmessige eller regulatoriske krav, kan selskaper ha et etisk krav om å opplyse om bruddet – ofte drevet av omfanget av bruddet og sannsynligheten for at det blir offentlig. (Profftips: det er alltid bedre at interessentene dine hører fra deg enn å finne det ut for første gang i media. Å gjøre det viser at du tar beskyttelsen av informasjonen deres på alvor.)
• Verdier: Begrunn alltid forretningsresponsen med forretningsverdier. Hvem står du for som selskap, og hva forventer interessentene dine av deg? Se situasjonen gjennom deres øyne og reager deretter.

Den alarmerende økningen i cybersikkerhetshendelser det siste året, samt antallet velkjente brudd, understreker at det aldri har vært et viktigere tidspunkt å forberede seg. Med flere organisasjoner og selskaper som følger en hybrid arbeidsmodell, fortsetter risikoen for datainnbrudd bare å øke. Trusselaktører vil se en mulighet med en ekstern arbeidsstyrke – og vi bør forvente at de vil fortsette å utvikle seg og tilpasse driften sin til den nye normalen.

Å prioritere planlegging av cybersikkerhet nå vil bidra til å sikre at organisasjonen din er forberedt i tilfelle en hendelse oppstår – fordi det ikke er et spørsmål om «om», men et spørsmål om «når» et cyberangrep vil inntreffe.

Last ned en kopi av denne Spotlight-artikkelen her .

Om våre gjesteforfattere, Sean Wood og Katherine Goodyear:

Sean Wood er konserndirektør i Weber Shandwicks globale krise- og problemhåndteringsavdeling – og har i over 25 år hjulpet klienter med å beskytte omdømmet sitt i kritiske situasjoner. Sean bruker et perspektiv på bedrifts- og merkevareomdømme til krise- og problemhåndtering for å hjelpe bedriftsledere med å håndtere komplekse situasjoner med integrerte strategier for å redusere risiko.

Katherine Goodyear er direktør i Weber Shandwicks krise- og problemavdeling i New York City. Katherine veileder klienter gjennom deres mest komplekse og sensitive problemstillinger for å beskytte omdømmet deres. Hun tilbyr et bredt spekter av støtte innen krisekommunikasjon – og hjelper klienter med å navigere i nettsikkerhetshendelser.