Не киберинцидентом единым: зачем и как строить регулярное взаимодействие CISO с PR

Когда мы говорим о взаимодействии команд по информационной безопасности и PR первым на ум приходит кибератака на бизнес. То есть событие, которое находится одновременно в зоне ответственности специалистов по ИБ и PR-менеджеров. Так как одни защищают инфраструктуру компании, а другие — ее репутацию. Однако точек соприкосновения у этих двух, на первый взгляд, разных вселенных намного больше. Зачастую качество и оперативность антикризисных коммуникаций по кибератаке будет напрямую зависеть от выстроенных взаимоотношений команд до инцидента. Именно поэтому понимание аспектов работы друг друга — это основа не только для минимизации репутационного ущерба, но и укрепления имиджа компании.

Безопасная и надежная

Если вы, как руководитель направления информационной безопасности, никогда не учествовали в составлении PR-стратегии и не видели ее в глаза, вам будет интересно узнать, что этот основной для PR-менеджеров документ составляется на основе приоритетов и целей бизнеса. Одним из способов создать репутацию надежной компании является публичное освещение аспектов информационной безопасности, как стратегического приоритета компании. Это особенно важно, если в вашей индустрии случались громкие инциденты кибербезопасности и аудитория уже имела повод для волнений.

Технологические партнерства, внедрения прогрессивных решений по защите данных, переход на более современные средства информационной безопасности и реализация их в продуктах компании — все это аспекты PR-стратегии компании, которая хочет использовать информационную безопасность, как конкурентное преимущество. Соответственно, для PR-отдела — это еще одна линия в выстраивании репутации компании в публичном поле, наряду, например, со стабильной финансовой позицией и инновационным подходом к разработке продуктов. По части финансов курировать PR будет финдиректор, по разработке — CTO, а по ИБ… ну вы поняли.

Взаимодействие CISO с PR-командой важно выстраивать, в том числе, вокруг продвижения перечисленных инициатив в различных целевых аудиториях — среди клиентов, партнеров, акционеров и инвесторов. Широкие возможности PR-команды по правильной “упаковке” достижений компании в сфере кибербезопасности – очевидный win-win для бизнеса.

Регулятор снова регулирует

И это, очевидно, не новость. Выход новых требований регулятора или стремление компании выйти на рынок, где ее продукт должен соответствовать букве закона и иметь подтверждающие сертификаты и лицензии, потребует от CISO дополнительной работы. Например, прохождение аудита на соответствие компании стандарту по ИБ.

В свое время, CISO, с которым я работала, попросил меня за пару месяцев подготовить драфт пресс-релиза о соответствии одному из стандартов. Настолько важно ему было оперативно запустить информацию в публичное инфополе и опередить конкурентов, которые по инсайдерским данным, тоже были заняты этим процессом.

Вам, как CISO, стоит иметь ввиду, что выполнение нормативных требований — важный инфоповод для PR-службы. А поскольку это зачастую еще и серьёзное испытание для специалистов по ИБ, задач для коммуникаций уже две. С освещением инфоповода в СМИ помогут пиарщики, всегда голодные до новостей. А вот о том, как команда трудилась над получением новой “бумаги” будет важно рассказать внутри компании. Здесь на помощь придет команда внутренних коммуникаций. В небольших компаниях PR зачастую выполняет и эту функцию, поэтому просто имейте ввиду — этохорошая мотивация для ИБ-команды и повод гордиться ей для всех остальных. Не держите в себе.

А что там про личный бренд

Порядка 10 лет назад, мы вместе с руководителем по ИБ отвечали одному из российских изданий на вопрос, который приводил его буквально в бешенство. Вопрос звучал так: пора ли CISO говорить публично?

Хочется верить, что сейчас утвердительный ответ на этот вопрос уже не вызывает сомнений. Однако руководитель службы информационной безопасности — все еще не самая публичная роль в компании.

Продвижение личного бренда CISO — это “улица с двусторонним движением”: без потребности высказывания и желания продвигать собственную экспертизу это процесс можно не начинать. Однако, если, как описано в разделе выше, бизнес видит информационную безопасность одним из своих стратегических приоритетов, а глава ИБ уже неоднократно становился “голосом” компании в публичном поле, личный бренд можно и нужно усиливать.

PR-команда — те самые ребята, которые обладают необходимыми навыками по анализу площадок, каналов коммуникаций для создания публичного образа руководителя по ИБ. И не только его. В команде информационной безопасности наверняка есть эксперты, готовые вести свои блоги, выступать на разных мероприятиях, постепенно выходить из тени. Для обеих команд — ИБ и PR — это важная точка взаимодействия в продвижении экспертизы компании. Если вы, как руководитель по кибербезу, видите подобное стремление в рядах своей команды, обратитесь в PR. Это прямая задача специалистов по связям с общественностью — помочь зажечь новые звезды на ИБ-небосклоне.

Инцидент ИБ: реагируем вместе

Можно было сразу перейти к этой части, без рутинной лирики, скажете вы. Но проблема в том, что без выстроенного взаимодействия между ИБ и PR командами хотя бы в части перечисленных мной пунктов, реагирования на кризисную ситуацию будет хождением по мукам для обеих сторон. Почему? У вас не будет времени знакомиться и вникать в экспертизу друг друга. Когда счет идет на минуты, не до создания громоздких планов и решений. Это не время для вопросов: кто у нас спикер, кого привлечь к оценке рисков, кто ведет мониторинг публичного поля и для многих других, с которыми вы столкнетесь во время инцидента. Вы должны быть готовы заранее. Все мы знаем, что кибератака это не про “если”, а про “когда”.

Наличие взаимодействия между командами ИБ и PR – это первое и обязательное условие грамотной антикризисной коммуникации при киберинциденте в публичном поле.

Второе условие — план. У вас, как у руководителя по ИБ, вероятно, есть свой план реагирования на киберинцидент. Но какая роль отведена в нем PR-команде? Они участвовали в его составлении? Видела его в глаза? Если нет, готовность к инциденту не стоит переоценивать. Найдите время и задайте PR-службе вопросы: есть ли у них антикризисные гайды и протоколы? Уделено ли в них внимание такому риску для репутации, как инцидент кибербезопасности? Как они будут реагировать, если когда это случится? Подобные вопросы позволят вам прояснить готовность к защите репутации в паблике при киберинциденте и превентивно договориться, а лучше совместно прописать шаги по антикризисным действиям. И вы, и руководитель PR-службы во время инцидента становитесь кризисными менеджерами, а значит вы должны работать сообща.

Следующие шаги проверки на готовность к инциденту — внутренний тренинг, консалтинг со специалистом по антикризисным действиям и PR. Это позволит выявить слабые стороны PR-гайдов, проверить соответствие их протоколам ИБ и дополнить в “синтетическом” режиме.

К сожалению, пиарщик, никогда не делавший антикризис по киберинциденту врядли с ним справится с первого раза. А это не то поле, где можно экспериментировать “на живую”, без риска усугубить кризис доверия к компании.

Способы выстраивания взаимодействия CISO и PR

Я много раз слышала от PR-менеджеров, что кибербезопасность — это тяжелая индустрия для гуманитариев, потому что разбираться в данных, считать, отличать стилер от RAT, помнить весь этот зоопарк хакерских групп и не стесняться задавать вопросы, это непросто. Однако тоже самое можно сказать и про технических специалистов — что такое инфоповод, а что нет? Что “зайдет” в СМИ, какой комментарий опубликуют, о чем писать колонку — не самые очевидные вопросы для CISO. Мои рекомендации о том, как все же быть на одной странице и глубже понимать специфику работы друг друга ниже:

Задавать вопросы. Вы не обязаны знать то, что знают ваши PR-коллеги. Однако, в сферах, о которых я написала выше, цели ваших функций в компании совпадают. Задавайте больше вопросов коллегам и со временем коммуникации станет проще, а вам будет легче понять, что нужно от вас, чтоб работа по продвижению экспертизы или технологических нвостей была сделана.

Развивать общую базу. Вы читаете профильные блоги и СМИ по кибербезопасности. Видите хорошие и плохие примеры пиара компаний. Делитесь своими мыслями с командой, отвечающей за коммуникации. Обменивайтесь ссылками друг с другом, обсуждайте хорошие и плохие примеры на российском и международном рынках, составляйте совместные чек-листы. Так вы вместе сформируете собственные стандарты по подготовке качественного контента.

Погружать в свои планы. PR-функция в любой компании не живет сама по себе: пиарщики получают задачи от самых разных департаментов. Посвящайте PR-специалистов заранее в свои планы по активностям, которые могут стать инфоповодами: партнерства, внедрения, сертификация,публичные выступления, исследования, аналитика. Требуйте от них активного участия в формировании ваших совместных планов.

Давать и получать обратную связь. Вашей команде важно знать, на что они потратили время не зря, давая комментарий или готовя колонку. Договоритесь с пиар-специалистами об отправке вам ссылок или результатов мониторинга по вышедшим публикациям. Всегда спрашивайте, как отнеслись к новости СМИ, что можно было сделать лучше. Не забывайте сами “нести” обратную связь в PR: как к вашему публичному выступлению, статье, интервью отнеслись клиенты, партнеры, ИБ-коммьюнити. Все это поможет вашему PR в следующий раз выступить еще лучше или прийти к вам с идеями.

Последнее, о чем хотелось бы сказать — это мотивация. Она особенно нужна для условно “не профильной” работы, которой технические специалисты иногда считают работу над контентом. Для того, чтобы взаимодействие департамента информационной безопасности и команды PR приносило удовлетворение и заряжало на новые совместные успехи, важно признание усилий друг друга. Развивайте культуру культуру нематериальной мотивации вместе, зачастую она работает лучше, чем прибавка к зарплате “за спикерство”, что практикуют западные компании.

Не забывайте благодарить специалистов по коммуникациям за вклад в продвижение вашей экспертизы. Подумайте, как совместно организовать специальную активность или интегрироваться в существующую для признания заслуг друг другу. В моей практике мы совместно со специалистами по внутренним коммуникациями регулярно проводили специальное мероприятие для спикеров компании, где PR награждал технических специалистов уникальным мерчом и коммуницировал их достижения на всю компанию. Если у вас еще нет подобной активности, возможно, это хорошая идея и для вашей компании. Признание — ключ, которым вы откроете много дверей.

Автор:
Ника Комарова,
консультант по стратегическим коммуникациям и PR, автор телеграм-канала PR Machine, ex-директор по коммуникациям Group-IB, ГК Астерос, Ситроникс ИТ.