خروقات البيانات مكلفة. من السهل نسبياً قياس التكاليف المباشرة، مثل المعالجة والإخطار والدعاوى القضائية والغرامات ومدفوعات برامج الفدية المحتملة. قد يكون من الصعب تحديد التكلفة غير المباشرة للضرر الذي يلحق بالسمعة، ولكن يمكن أن يكون لها تأثير طويل الأمد على الشركة.
الثقة ضرورية لصورة العلامة التجارية للشركة. يمكن أن يؤدي الانتهاك إلى تشويه تلك الصورة في أعين المستهلكين وشركاء الأعمال والأسواق العامة. اعتمادًا على كيفية استجابة المؤسسة للانتهاك، يمكن أن يؤدي تلف العلامة التجارية إلى خسارة الأعمال. بعد حدوث اختراق للبيانات، كيف يمكن للقيادة فهم حجم الضرر الذي لحق بسمعة المنظمة، وكيف يمكنهم إصلاحه؟
فهم الضرر بالسمعة
تؤثر طبيعة الانتهاك على مقدار الضرر الذي يمكن أن تتعرض له سمعة المنظمة. “يزداد التأثير عمومًا مع حساسية نوع البيانات التي ربما تم اختراقها،” كما يقول فريد ريكا، الشريك في شركة استشارية. بي بي إم“، يقول InformationWeek. من المرجح أن يكون الاختراق الذي يتضمن عناوين البريد الإلكتروني، على سبيل المثال، أقل ضررًا من الاختراق الذي يتضمن معلومات مالية.
تلعب عوامل مثل صناعة المؤسسة وعدد الأطراف الأخرى المتأثرة والتدقيق التنظيمي أيضًا دورًا في الضرر المحتمل بالسمعة. قد تتعرض سمعة شركة الأمن السيبراني التي تبيع خدمات للدفاع عن مؤسسات أخرى لضربة عندما تقع فريسة للاختراق. سيكون الاختراق الذي يمتد إلى الخارج ويؤثر على ملايين المستهلكين والعديد من شركاء سلسلة التوريد بمثابة صفقة أكبر من تلك التي تتضمن كمية أقل من البيانات الداخلية. إن الانتهاك الذي يجذب انتباه الهيئات التنظيمية، وخاصة تلك التي تؤدي إلى غرامات تنظيمية، سوف ينعكس بشكل سيء على العلامة التجارية.
إن الجدول الزمني للانتهاك مهم أيضًا لعلامتك التجارية. كم من الوقت لم يتم اكتشاف الانتهاك؟ وما مدى سرعة علاجه بعد اكتشافه؟ هل تعطلت عملياتك التجارية؟ هل لم يتمكن العملاء من الوصول إلى خدماتك أو الحصول على منتجاتك؟
“يمكنك قياس المبيعات المفقودة؛ يمكنك تحديد القيمة السوقية المفقودة؛ يقول ريكا: “يمكنك قياس الانخفاض في سعر السهم، لكنني لا أعلم أن ذلك يساعدك بالضرورة على تحديد الضرر الذي يلحق بالعلامة التجارية”.
من الصعب تحديد رقم دقيق للثقة. قد تتمكن بعض المنظمات التي تجري أبحاثًا حول العلامات التجارية بشكل منتظم من الحصول على نظرة ثاقبة حول كيفية تأثير الاختراق على معنويات أصحاب المصلحة، وبالتالي نظرتهم إلى العلامة التجارية.
توضح كاتي كلارك، نائب الرئيس التنفيذي لشؤون الأزمات ومخاطر السمعة ورئيسة أمن البيانات والخصوصية في الولايات المتحدة: “قد يكون لدى الكثير من المؤسسات التي تركز على المستهلك الكثير من أبحاث العلامات التجارية حيث تقوم بالفعل بإجراء دراسات استقصائية منتظمة للموظفين، واستطلاعات رأي منتظمة حول صحة علامتها التجارية”. في شركة الاتصالات العالمية إيدلمان. “يمكن أن تكون هذه مؤشرات جيدة لاستخدامها أو قياسها إما من خلال حادث أو بعد الحادث لمعرفة ما إذا كان هناك أي نوع من التغيير.”
حتى لو لم تتمكن المؤسسة من وضع رقم ثابت لقيمة علامتها التجارية، فيجب حماية هذه القيمة بالرغم من ذلك.
بناء خطة لحماية سمعتك
تدرك المنظمات بشكل متزايد أن حادث الأمن السيبراني ليس مسألة احتمال حدوثه بل متى. وهذا يعني أن القيادة لديها فرصة للاستعداد لأي هجوم أو ضرر محتمل للعلامة التجارية.
“يجب أن يكون لديك برنامج واسع ومتكامل لإدارة الأزمات أو خطة للاستجابة للحوادث السيبرانية [IRP] يقول جيمس ماكدونيل، المدير الإداري الذي يتعامل مع مخاطر السمعة وإدارة الأزمات والمرونة في مجالات التأمين والضرائب والتأمين: “لا يتعامل هذا فقط مع مسؤوليات رئيس أمن المعلومات أو الأشخاص في متجر تكنولوجيا المعلومات، ولكن مسؤوليات أصحاب المصلحة الآخرين في جميع أنحاء المؤسسة بأكملها”. شركة الخدمات الاستشارية المالية بي دي أو.
تحتوي خطة حماية سمعتك على مكون تقني ومكون اتصالات. ومن المهم أن نتذكر أن الأشخاص المسؤولين عن كل جانب لا يمكنهم العمل بمعزل عن الآخرين. يجب أن تتماشى جميع الجهات المعنية.
يقول كلارك: “لا يمكننا التواصل إلا في حالة حدوث استجابة تكنولوجيا المعلومات، وتكون هناك تداعيات ومخاطر قانونية على ما يمكننا التواصل معه”. وهذا يعني أن فريق CISO، وبقية المجموعة التنفيذية، والمستشار العام، وفريق الاتصالات وأي شركاء خارجيين، مثل شركة العلاقات العامة، وشركة إدارة الأزمات، والمستشار الخارجي، وشركة التأمين السيبراني بحاجة إلى الاستعداد من خلال استجابة منسقة.
ومن المهم أيضًا التأكد من أن جميع أصحاب المصلحة يعرفون دورهم في التواصل بعد حدوث الاختراق. “إذا لم يكن لديك أشياء مثل إرشادات وسائل الإعلام التقليدية وإرشادات وسائل التواصل الاجتماعي لموظفيك والتي تحدد من هو المتحدث الرسمي باسم الشركة ومن هو غير مخول له، فأنت حقًا تهيئ نفسك لقضاء يوم أصعب بكثير “، يقول ماكدونيل.
يمكن للشركات إجراء تمارين الطاولة لخطط الاستجابة الفنية وخطط الاتصال للاختراق. ومن ناحية الاتصالات، فإن صياغة بيانات الحجز لكل جمهور متأثر محتمل (المستهلكين والموظفين وشركاء الأعمال والمستثمرين) يمكن أن تقلل من الوقت المستغرق لصياغة رسالة في حالة حدوث انتهاك حقيقي.
إدارة الأزمات
إن كيفية انعكاس الانتهاك على العلامة التجارية للشركة يعتمد إلى حد كبير على كيفية إدارة الأزمة والتواصل معها. يقول دورون غولدستين، شريك الخصوصية والأمن السيبراني في فريق إدارة الأزمات في القانون الدولي: “كل خرق وكل استجابة لها نتائج مختلفة اعتمادًا على الشركة، اعتمادًا على طبيعة الاختراق، أو الحادث، واعتمادًا على كيفية الإبلاغ عنه”. حازم يذبل.
بمجرد حدوث الاختراق، فقد حان الوقت لوضع IRP موضع التنفيذ. مع هيئة الأوراق المالية والبورصات الأمريكية الجديدة (SEC) قواعد الإبلاغ عن حوادث الأمن السيبرانيقد يكون جانب الاتصال الخاص بالانتهاك ضمن جدول زمني أكثر صرامة، مما يسلط الضوء بشكل أكبر على أهمية بناء خطة قبل حدوث الأزمة.
“قد لا تكون قادرًا على التمتع بالمرونة أو الرفاهية لمنح الأشخاص مهلة يومين للاستعداد للتطورات بسرعة. يقول كلارك: “قد يتعين عليك القيام بذلك خلال ساعتين أو ساعة قبل نشره على نطاق أوسع من الجمهور”.
قد يبدو هذا الجدول الزمني مستعجلًا، لكن هذه الشفافية جزء من حماية علامتك التجارية.
“أن تكون ضعيفًا وحقيقيًا … أمر مهم. يقول جيريمي كابيل: “أن نكون قادرين على القول: “نعم، لقد حدث هذا الانتهاك، ونحن نطلب من أصحاب المصلحة لدينا مثل الحكومة الفيدرالية، أو نطلب من شركات التأمين الحضور ومساعدتنا، وهذا ما يساعدك على تجاوز هذا الأمر”. ، CISO لمنصة إدارة الأحداث الهامة ايفربريدج.
إذا تعرضت مؤسسة ليس لديها IRP في مكانها لانتهاك، فإن الإجراء اللحظي ينطوي على مخاطر كبيرة تؤدي إلى مزيد من الضرر للعلامة التجارية. يقول ريكا: “إذا لم تكن لديك خطة، ولم يكن لديك فريق قوي ومتطور وكبير بشكل خاص، أعتقد أن هذا هو الوقت المناسب لطلب المساعدة الخارجية”.
أخطاء التواصل الشائعة
تعد خروقات البيانات أحداثًا متطورة تتطلب استجابة سريعة. من السهل ارتكاب الأخطاء، حتى بالنسبة للمؤسسات التي أعدت واختبرت خطط الاستجابة. لكن أخطاء الاتصال يمكن أن تؤدي إلى تفاقم الضرر الذي يلحق بالعلامة التجارية.
-
التحدث في وقت مبكر جدا. إن الضغط للمضي قدماً في قصة الاختراق هائل. انتظر طويلاً ويبدو أنك تحاول التشويش. ولكن إذا تحدثنا مبكراً فقد تجد القيادة نفسها تتراجع عن تصريحاتها الأولية. الاندفاع لإصدار بيان يترك المجال لتصريحات متضاربة. إذا قال الرئيس التنفيذي شيئًا وقال الموظف شيئًا آخر، فسينتهي بك الأمر برسائل مشوشة تحتاج إلى تصحيح. يقول غولدستين: “هذه الأشياء تخلق تصورًا، أو يمكن أن تخلق تصورًا، بأن الشركة إما لم تكن تقدم كشفًا كاملاً في البداية، أو أنها لا تعرف ما تفعله”.
-
الفشل في حساب المزيد من التنازلات. هل تعرف مدى وصول جهة التهديد إلى أنظمتك؟ عمل ماكدونيل مع شركة وقعت ضحية لهجوم فدية. وبمجرد أن أدرك فريق القيادة ما حدث، قفزوا إلى وضع التخطيط. لقد اتخذوا قرار الدفع بعد الكثير من المحادثات عبر البريد الإلكتروني للشركة. وعندما ذهبوا لتقديم عرضهم لممثل التهديد، قوبلوا بمفاجأة غير سارة. “الشيء الوحيد الذي تم تقديمه هو لقطة شاشة لرسالة بريد إلكتروني من المدير المالي إلى الرئيس التنفيذي حيث أوضح المدير المالي مقدار الأموال النقدية المتوفرة لديهم، وما هي التغطية التأمينية الخاصة بهم وما اعتقدوا على الإطلاق أنهم سيكونون على استعداد له “للدفع”، يشارك. جزء مهم من التخطيط للاستجابة للاختراق هو وجود خيارات للاتصال دون اتصال بالإنترنت.
-
نسيان الموظفين. يقول كلارك: “أعتقد أن أحد الجماهير الكبيرة التي غالبًا ما تنساها المؤسسات هو الموظفون”. وفي الاندفاع لتحديث العملاء وشركاء الأعمال والمستثمرين والمنظمين، قد يُترك الموظفون في الظلام. لكن إدراك الموظفين وثقتهم أمر مهم بالنسبة للعلامة التجارية أيضًا.
-
تحويل اللوم. ربما لم تكن المؤسسة قادرة على منع الاختراق، خاصة إذا كانت مستهدفة من قبل جهة تهديد متطورة. لكن اختيار عدم تحمل أي مسؤولية قد يبدو وكأنه خدمة ذاتية أو مخادع. يقول غولدستين: “أحد الأشياء التي غالبًا ما تكون هي الحال في التواصل أثناء الأزمات هو أن تقديم الأعذار أو إلقاء اللوم على شخص آخر لا يعني عمومًا قول “نحن آسفون، وسوف نتحسن”.
إصلاح طويل الأمد
لن يؤدي كل اختراق للبيانات إلى ضرر طويل الأمد للعلامة التجارية. يقول كلارك: “إذا قامت إحدى المنظمات بإدارة الاستجابة بطريقة جيدة، وإدارتها بشكل صحيح، وكانت مسؤولة، وتواصلت بشكل جيد، فإن تلك الحالات في كثير من الأحيان لا يكون لها تأثيرات طويلة المدى”.
ما إذا كان الانتهاك يلقي بظلاله على علامتك التجارية هو مسألة مدى استجابة المؤسسة للأزمة المباشرة وكيفية المضي قدمًا. يقول كابيل: “يمكنك أن تمر بأزمة، ويمكنك الخروج على الجانب الآخر من خلال هذه العملية وتعزيز سمعتك أو الإضرار بسمعتك”.
وفي مرحلة ما، تحتاج القيادة إلى تحديد الوقت الذي تمكنت فيه من اجتياز الأزمة الأولية. متى يمكنها العودة إلى العمل كالمعتاد وإثبات أنها يمكن أن تكون وكيلًا موثوقًا للبيانات في المستقبل؟ وتواجه العديد من المنظمات صعوبة في تحقيق هذا التحول، وفقًا لماكدونيل.
إن إجراء تشريح للانتهاك بعد الوفاة يمكن أن يساعد المؤسسات على فهم ليس فقط كيفية حدوث الانتهاك ولكن أيضًا مدى جودة احتوائه وإبلاغه. توصي ريكا بإحضار “… شخص من الخارج يتمتع برؤية مستقلة تمامًا وعيون جديدة تمامًا.”
يمكن أن تساعد هذه العملية المؤسسة على تحسين خطة الاتصال الخاصة بالاختراق وتشديد موقفها الأمني، مما يقلل من فرصة تلف العلامة التجارية في المستقبل. يحذر ماكدونيل قائلاً: “لا يهم مدى جودة فريق العلاقات العامة لديك، أو مدى جودة صياغة بياناتك، إذا لم يكن هناك أي مضمون وراء ذلك”.
