Comunicação de crise e cultura de segurança

Públicos e obrigações

• Funcionários: o que aconteceu, o que fazer e não fazer, e onde perguntar. O silêncio alimenta boatos.
• Clientes e parceiros: o que foi afetado, o que devem fazer e quando você os atualizará de novo.
• Reguladores: muitas leis exigem notificação dentro de um prazo definido após você tomar conhecimento de certas violações, especialmente de dados pessoais. Conheça os prazos das suas jurisdições antes de um incidente.
• Executivos e conselho: impacto, decisões necessárias e o plano atual.
• Autoridades policiais, seguradoras e fornecedores, conforme apropriado.
• O público e a imprensa, por meio de um único porta-voz designado.

Princípios

• Seja honesto e pontual: diga o que sabe, o que ainda não sabe e quando atualizará. Não adivinhe e não esconda.
• Uma fonte de verdade e uma só voz: todas as declarações externas são aprovadas pelo jurídico e pela comunicação e são consistentes entre si.
• Não culpe: nem a astúcia do atacante, nem o funcionário que clicou, nem o fornecedor, até que os fatos estejam estabelecidos.
• Dê às pessoas algo para fazer: passos concretos (trocar senhas, ficar atento a fraudes) valem mais do que tranquilização genérica.
• Atualize no cronograma prometido, mesmo quando a atualização for que nada mudou.
• Prepare-se: modelos, listas de contatos e direitos de decisão escritos em tempos calmos e ensaiados em exercícios de mesa (tabletop) com executivos.

Um esqueleto de mensagem

Assunto: Incidente de segurança que afeta [serviço]

O que aconteceu: Em [data] detectamos [descrição clara]. Nós [contivemos em data].
Quais informações estiveram envolvidas: [categorias específicas; diga o que NÃO foi afetado, somente se confirmado].
O que estamos fazendo: [contenção, investigação com especialistas externos, melhorias].
O que você pode fazer: [passos concretos].
O que acontece a seguir: atualizaremos você até [data/hora]. Contato: [canal e nome].
Lamentamos a preocupação que isso causa.

A cultura decide a primeira hora

• Relato sem culpa: quem reporta um erro rapidamente deve ser agradecido, não punido. O primeiro relato costuma ser o que salva o dia.
• Faça do jeito seguro o jeito fácil: ferramentas e padrões, não políticas longas que ninguém lê.
• Security champions nas equipes de engenharia e de negócio, que aproximam a segurança do trabalho diário.
• Conteúdo de conscientização curto, relevante e respeitoso, que explique o porquê, com exemplos reais da sua empresa.
• Os líderes dão o exemplo: os executivos seguem as mesmas regras (MFA, reporte, aprovações).
• Meça a cultura: taxas de reporte, tempo para reportar, participação em exercícios e pesquisas sobre a confiança na equipe de segurança.