In un incidente, ciò che dici (e a chi, e quando) conta quanto ciò che fai tecnicamente: una comunicazione sbagliata trasforma un problema di sicurezza in una crisi reputazionale e legale. I principi:
- canali fuori banda: comunica su sistemi non compromessi – l'attaccante potrebbe leggere l'email aziendale mentre pianifichi la risposta
- non compromettere l'indagine: dettagli pubblicati troppo presto avvisano l'attaccante di cosa sai; ma il silenzio prolungato distrugge la fiducia più del danno – è un equilibrio da gestire con il legale
- rispetta gli obblighi di legge: la notifica al Garante entro 72 ore e agli interessati se il rischio è alto, i termini NIS2/ACN – questi non sono scelte di PR, sono doveri
- una voce sola, coordinata: un portavoce, messaggi allineati verso dipendenti, clienti, autorità, stampa – le versioni contraddittorie sono benzina
- onestà misurata: dire ciò che si sa con certezza, ammettere ciò che non si sa ancora, non promettere ciò che non puoi garantire. Le aziende che hanno gestito bene un breach sono spesso quelle che hanno comunicato presto e onestamente; quelle che hanno minimizzato o nascosto hanno pagato molto di più
È una fase da preparare prima – template, ruoli, decisori, contatti – ed è esattamente ciò che un tabletop exercise mette alla prova. La comunicazione di crisi è parte dell'incident response, non un'appendice.