Durante le crisi informatiche, il mancato coinvolgimento degli stakeholder può far rapidamente degenerare la crisi in atto in un disastro reputazionale. I casi eccellenti non mancano, sia in positivo che in negativo: crisi di portata tecnicamente limitata che sono state gestite dal punto di vista degli stakeholder, in modo corretto o meno, hanno portato a differenze di impatti rilevanti.
Sebbene le organizzazioni concentrino i propri sforzi sulla prevenzione e mitigazione degli attacchi informatici, va considerato che non sia sempre possibile risolvere i problemi nel momento in cui si verificano e che in alcuni casi possano trascorrere settimane o mesi prima che il problema venga risolto. In questo momento, se un’organizzazione non comunica rapidamente ed efficacemente con i propri stakeholder, si crea un periodo di vuoto comunicativo che può seriamente erodere la loro fiducia e, in ultima analisi, distruggere la reputazione dell’organizzazione.
Un recente esempio è la serie di problematiche reputazionali, anche se non causata da un problema cyber o IT, sofferte dal gruppo di Chiara Ferragni nel caso dei panettoni Balocco: le conseguenze sono tutte legate al rapporto con gli stakeholder (clienti, utenti social, anche quelli non direttamente follower, politici, giornalisti ecc.).
Va sottolineato però che, sebbene la gestione delle crisi sia un argomento ampliamente discusso da anni, non è ancora chiaro se la gestione delle crisi cyber sia del tutto identica[1].
Qual è quindi l’impatto degli stakeholder durante le crisi informatiche e come si può gestire in modo efficace il processo?
Indice degli argomenti
Stakeholder: elemento fondamentale nell’ecosistema aziendale
Nella gestione di una crisi cyber il primo passo, rispetto alle attuali metodiche di gestione delle crisi, è riconoscere che gli stakeholder siano un elemento fondamentale dell’ecosistema di ogni organizzazione.
In tal senso, come parte delle azioni di contenimento delle conseguenze di una crisi, è necessario pianificare in tempo e prima della crisi stessa il loro corretto coinvolgimento. Come per la gestione di qualsiasi asset prima di una crisi, occorre riconoscerli e classificarli in ordine di importanza e influenza sul valore del business aziendale.
La corretta mappatura in ordine di importanza, collaborazione, grado e tipo di influenza e livello di minaccia all’organizzazione serve a sviluppare strategie mirate di coinvolgimento e comunicazione che possano portare a risultati misurabili.
Il processo di mappatura degli stakeholder aiuta a scoprire in anticipo quali siano le opportunità e gli scenari peggiori che possono verificarsi durante una crisi ed essere preparati. Ad esempio, lo scontento o la sfiducia degli stakeholder possono aggiungere ad una crisi cyber un crollo reputazionale.
La capacità di comunicare in modo rapido, trasparente e credibile in maniera adeguata al ruolo che ricopre ogni stakeholder è una caratteristica fondamentale di qualsiasi strategia efficace di risposta alle crisi. Questo, soprattutto per le crisi informatiche, per le quali raramente esistono soluzioni rapide.
Nel contesto delle crisi cyber questo aspetto è ancora poco compreso, sia per il fatto che i team di sicurezza si concentrano spesso solo sugli aspetti tecnici, sia per il fatto che manca la preparazione per affrontare questo aspetto; ciò è vero specialmente nelle piccole e medie imprese, dove paradossalmente gli stakeholder e gli aspetti reputazionali sono di importanza maggiore. Anche questo è un aspetto della gestione umana della sicurezza informatica.
La gestione delle crisi informatiche
Le crisi informatiche derivano sia da blocchi funzionali che da attacchi cyber. In questo secondo caso le conseguenze possono essere dirette ed indirette[2]. Fra le conseguenze dirette ci sono sicuramente quelle tecnologiche e di rimessa in funzione dei sistemi colpiti. Le conseguenze indirette possono essere di varia natura e colpire asset tecnologici e non (i cosiddetti asset intangibili, come la reputazione o la fiducia dei clienti nell’operato della ditta).
Nel progetto Europeo HERMENEUT, partecipato dal Cefriel, sono stati analizzati gli effetti a cascata di un attacco cyber ed è stato individuato che, nella maggior parte dei casi, questi rappresentino i costi più alti, superiori ai costi diretti.
Come riportato in Figura 1 le perdite possono essere dirette o indirette ed ognuna porta a costi correlati. Come si vede, nei costi correlati appaiono le Public Relations al fianco delle altre operazioni di ripristino. I costi legati agli stakeholder appaiono però in generale anche fra le perdite indirette.
Un primo punto è quindi come si possa gestire bene questo aspetto di una crisi informatica.
L’altro punto importante è definire in modo unico cosa si intenda con stakeholder. Questo termine include tutti gli attori che ruotano intorno al servizio colpito, direttamente o meno. In generale, a seconda dell’impresa questi includono i dipendenti, gli utenti del servizio, i clienti, gli azionisti, l’opinione pubblica, i giornalisti, le autorità di regolamentazione, le vittime, i politici e via dicendo. A queste categorie si aggiungono ora anche gli stakeholder che sono coinvolti attraverso i social media.
La moltitudine e la diversità di questi gruppi intrecciati fra loro e guidati da criteri alle volte incontrollabili, aggravano l’intensità delle crisi. Potenzialmente l’impatto a lungo termine di maggiore peso è la perdita di fiducia.
La capacità di mantenere la fiducia degli stakeholder è il fattore di differenziazione tra una crisi e un disastro.
Figura 1. Possibile scenario delle conseguenze ed effetti a cascata nel caso di un data breach di un identity provider.
L’edizione del 2019 del rapporto “Data Security Incident Response Report” di BakerHostetler riportava che la media per completare un’indagine forense fosse di 28 giorni, questi tempi sono aumentati nell’edizione 2023 del 20%. Questo significa che le parti interessate potrebbero non ricevere risposte per più di un mese.
Non tutti gli stakeholder però hanno uguale peso ed influenza ed è utile classificarli tramite un processo corretto, gestito per tempo, prima che una crisi sopraggiunga.
Stakeholder mapping, worst case analysis e simulazioni tramite Gold Team
Tutte le moderne crisi, non solo quelle legate agli attacchi cyber, hanno in comune un forte impatto sugli stakeholder prima, durante e dopo la crisi. Per anticipare, prevenire e mitigare le crisi, i leader aziendali e i gestori delle crisi (e.g., i team della IT security, ma anche marketing, HR, dirigenza etc.) devono conoscere bene le dinamiche dei propri stakeholder (es. IT security, le vittime, HR i dipendenti, il marketing i clienti, la dirigenza,gli azionisti ecc.).
Nel caso della sicurezza informatica è noto che la prima cosa da fare per stimare e gestire il rischio cyber sia un processo di asset inventory e management adeguato. La stessa cosa va fatta per gli stakeholder: occorre un processo di mapping che permetta di riconoscere tutti gli attori, classificarli per impatto sull’azienda, livello di coinvolgimento nella crisi e impatto a cascata su altri gruppi di utenti (es. gli utenti dei social media possono influenzare i giornalisti o viceversa).
Nel prevedere un piano di azione va innanzitutto considerato che le diverse parti interessate hanno una differente percezione della situazione e aspettative di comunicazione diverse.
Un approccio di comunicazione generalizzato è di sicuro la peggior maniera per rispondere alle preoccupazioni dei singoli attori. È necessario, per ogni gruppo di stakeholder, adattare il tono e il contenuto dei messaggi e comunicare attraverso il canale più adatto.
La base per una strategia di comunicazione efficace è la mappa degli stakeholder, ma tale mappatura richiede tempo, competenze e formazione specifiche. L’operazione permette di classificare i vari attori coinvolti nella crisi a vario titolo e classificarli in almeno tre gruppi: alleati, neutrali ed oppositori ed assegnare ad ognuno un potere o influenza[3].
I passi di un processo di mappatura degli stakeholder sono sei:
- Identificare tutti i gruppi di stakeholder, per quanto piccoli o lontani dalla situazione di crisi, che hanno un possibile interesse nella crisi o il potere di influenzarla (es. tramite matrici di potere/interesse). Occorre in questa fase descrivere la relazione con gli asset in crisi (es. un servizio in down o dati rubati da un ransomware) e quindi collegarla ai processi di asset management;
- Classificare gli utenti in almeno tre gruppi: alleati, neutrali e oppositori;
- Definire le questioni specifiche di ciascun gruppo in merito alla situazione, e quanto sia probabile che vengano intraprese azioni a favore o contro (es. gruppi di utenti che si coalizzano sui social o class actions);
- Definire che tipo di influenza può esercitare l’organizzazione sui gruppi di stakeholder (e, in caso contrario, concentrarsi su quelli che possono essere influenzati);
- Definire il risultato desiderato, la strategia per raggiungerlo e i messaggi chiave da utilizzare.
- Stabilire chi comunica con chi ed eventuali canovacci di comunicazione con esperti
La letteratura sulla gestione degli stakeholder per la gestione delle crisi, non dovute al cybercrime, è enorme. Nel caso del cybercrime però le dinamiche rapide, e soprattutto l’incertezza sulle azioni da svolgere sono un elemento nuovo. Nei cyberattacchi le indagini e la risoluzione richiedono tempo; un coinvolgimento rapido, attivo e regolare degli stakeholder diventa fondamentale per mantenere la fiducia e sopravvivere alla crisi.
Tutte queste operazioni vanno però svolte con un adeguato anticipo e preparate mediante delle specifiche simulazioni di attacco, che tipicamente vengono svolte in modalità table top. I table top sono simulazioni di attacchi, svolte “sulla carta”, che coinvolgono tutti gli attori che ruotano intorno alla gestione della crisi (es. IT security, HR, legal ecc.) e che pone particolare attenzione alla interazione fra le parti.
Lo scopo è duplice: da una parte far parlare le persone prima che un attacco avvenga (esercizio sempre molto utile), dall’altra parte preparare un piano di gestione delle crisi adeguato. Lo scopo è anche analizzare come stakeholder, sistemi, asset interagiscono in un determinato scenario di attacco con lo scopo di preparare in anticipo le azioni corrette.
L’attività del Cefriel
In Cefriel svolgiamo questo tipo di simulazioni, come spiegato in questo recente articolo. Lo scopo è quello di creare o esercitare le azioni del cosiddetto Gold Team.
Un Gold Team (che sia affianca ai già noti team Red, Purple, Green etc.) è composto da tutte le persone che devono gestire la crisi cyber dal punto di vista degli stakeholder. La tipica domanda alla quale si cerca di dare risposta è se il team di gestione delle crisi disponga di procedure efficaci e di capacità sufficienti per gestire le comunicazioni esterne ed interne durante un incidente di sicurezza informatica.
Le attività del Gold Team vengono esercitate tramite simulazioni table-top: simulazioni di attacco svolte in aula senza il completo supporto tecnologico tipico dei cyber range (si veda il seguente articolo per maggiori informazioni). Il vantaggio principale è che gli scenari considerati possono essere più complessi, non dovendo confrontarsi con le limitazioni tecniche e di costi.
Ad esempio, un possibile scenario table-top è la gestione della unità di emergenza nel caso di attacco ransomware, simulando l’assenza di persone chiave in quel momento, la creazione di comunicati stampa, l’interazione con i giornalisti e come comportarsi nel caso in cui la notizia trapeli sui giornali anzitempo (es. simulando la creazione di comunicati stampa o stilare delle relazioni per la dirigenza o il personale interno).
Per svolgere correttamente queste operazioni è fondamentale la mappatura degli stakeholder.
Cefriel ha esperienza con lo svolgimento dei cosiddetti Full Spectrum Vulnerability Assessment (FSVA). La metodologia si va ad affiancare alle altre attività di testing dei sistemi informatici (i normali vulnerability assessment tecnologici) e delle persone (test di social engineering simulato, che chiamiamo social driven vulnerability assessment –SDVA-). In questo caso l’obiettivo del test sono i team di security incident management.
In particolare, per alcuni tipi di FSVA si va a ragionare proprio sul funzionamento dei Gold Team. Il punto di forza è simulare queste situazioni in contesti di attacco realistici, più o meno complessi a seconda delle specifiche, ma seguiti con procedure, mind-set e dinamiche del tutto simili a quelle che si avrebbero in un attacco reale.
Il caso Norsk Hydro
Un caso da manuale, dal punto di vista della gestione della crisi è quanto accaduto a Norsk Hydro.
Norsk Hydro è un’azienda altamente tecnologica e fortemente automatizzata del settore dell’alluminio e delle energie rinnovabili, posseduta al 34% dallo Stato norvegese, con 35.000 dipendenti in 40 Paesi. Il 19 marzo 2019 è stata vittima del ransomware LockerGoga. Le perdite generali, dirette ed indirette, dovute alla mancata produzione ed i danni connessi, ammontavano a circa 400-500 milioni di NOK (circa 35-50 milioni di euro).
L’attacco ha portato alla compromissione del sistema di Active Directory (utilizzato per la gestione delle credenziali utenti e l’autenticazione sugli asset via rete) che ha provocato il passaggio alla modalità manuale di parte dei sistemi OT e l’interruzione di alcune operazioni. L’azienda non ha pagato il riscatto e ha risolto i problemi in autonomia. La causa è stata individuata due giorni dopo.
Stando ai commenti, Norsk Hydro ha eseguito un ottimo incident management plan ed una gestione della crisi eccellente. Avevano un sito web temporaneo, hanno comunicato bene con la stampa e il loro staff, apparentemente non nascondevano alcun dettaglio. Hanno persino creato dei webcast quotidiani con il personale più anziano, riportando quanto stava accadendo e rispondendo alle domande. Riassumendo i punti di forza:
- Comunicazione chiara e veloce con le parti interessate e i media: hanno tenuto una conferenza stampa per annunciare immediatamente l’hack e le misure che stavano adottando.
- Uso attivo dei social network per comunicare aggiornamenti e correzioni agli stakeholder interni ed esterni.
- Il nuovo sito web è diventato il principale canale di comunicazione dell’attacco.
- Si sono impegnati attivamente con le principali parti interessate, tra cui Microsoft, gli enti nazionali per la criminalità informatica, i gruppi industriali e le autorità competenti.
- Hanno documentato gli sforzi di recupero attraverso video, piattaforme di social media, ecc.
Quello che è stato perso in produttività e ricavi, è stato recuperato in parte in reputazione (il valore delle azioni e salito proprio in conseguenza della ottima gestione dell’incidente).
Il caso di Norsk Hydro è rilevante per il presente articolo perché sottolinea l’importanza della corretta gestione di una crisi rispetto alla preparazione tecnica.
Nonostante l’incidente fosse tale da paralizzare l’intera compagnia e lo stato della sicurezza precedente alla crisi fosse carente e sostanzialmente limitato alla sicurezza ordinaria, l’incidente si è tramutato in una storia di successo proprio grazie alle ottime strategie di gestione messe in atto.
Interessante notare anche che, a partire dal 2020 l’azienda abbia deciso di incrementare sia le soluzioni di sicurezza ordinaria che quelle di gestione delle crisi. Come riportato da G. Salviotti et al.[4] per la sicurezza ordinaria sono stati svolti “workshop sulla gestione delle crisi”, “sensibilizzazione degli utenti finali attraverso l’elearning” e “formazione obbligatoria per 11.000 dipendenti”.
La compagnia ha aumentato ulteriormente la propria attenzione alla gestione delle crisi attraverso le seguenti misure aggiuntive: “anticipazione e preparazione alle crisi”, “piani di preparazione alle emergenze”, “creazione di un team per le crisi informatiche” e “formazione e rafforzamento delle capacità di gestione delle crisi”.
La risposta dell’azienda viene oggi riconosciuta come uno standard di riferimento nella gestione delle crisi legate al cybercrime. A tal proposito si veda il sopra citato articolo dedicato al caso di G. Salviotti et al.
Il caso Möbelstadt Sommerlad
Di natura e portata completamente opposte segnalo quanto accaduto a Sommerlad, una catena tedesca di vendita mobili.
Nella notte del 30 aprile 2021, “il sito è stato attaccato da hacker professionisti con un attacco ransomware. Nonostante le protezioni informatiche esistenti, tutti i server dell’azienda sono stati criptati e i backup cancellati […] l’azienda non sa ancora se i dati sono trapelati, ma ha chiesto ai clienti di cambiare le loro password”.
In questo caso le azioni sbagliate sono state molte:
- mancanza di formazione del personale che clicca su mail contenenti ransomware, ma questo è un problema comune.
- Backup visibili dall’IT e conseguentemente vittime dell’attacco. Normale prassi sarebbe quella di tenere separati i due mondi per impedire che un eventuale ransom oltre a criptare i file cancelli i backup.
- “Nel dubbio cambiate la password”: questa misura spesso è tanto inutile quanto dannosa, se il breach è interno cambia poco modificare la password.
- Attacco del 30 aprile, reso pubblico a metà maggio, segno di una pessima comunicazione.
In questo caso, seppure con le dovute proporzioni e senza guardare ai problemi tecnologici, si nota una strategia di gestione della crisi non idonea.
Conclusioni
La gestione delle crisi informatiche legate al cybercrime è un elemento fondamentale oggigiorno, per limitare i danni a lungo termine che possono derivare dalla scorretta gestione degli stakeholder aziendali. Questi sono in grado di convertire un attacco disastroso in un potenziale guadagno reputazionale. La letteratura sulla gestione delle crisi stabilisce che i principali fattori alla base di una crisi organizzativa siano caratterizzati da un elevato effetto sorpresa, questo implica che possano avere un valore per l’organizzazione, sia in senso positivo che negativo[5].
I due casi emblematici ed opposti presentati (Norsk Hydro e Sommerlad) aiutano a capire quali siano le differenze di impatto che ha la corretta o scorretta gestione di una crisi. La lista degli attacchi gestiti male da questo punto di vista è lunga, ma cito come esempio il doppio attacco subito dalla SIAE nell’ottobre 2021, quello subito da email.it (il noto portale italiano della posta elettronica email.it ha subito un pesante data breach a firma di NoName Hacking Group nel 2020) oppure casi eclatanti come quello di Cathay Pacific del 2018[6].
Tutte le moderne crisi, non solo quelle legate agli attacchi cyber, hanno in comune uno forte impatto sugli stakeholder prima, durante e dopo la crisi. Per anticipare, prevenire e mitigare le crisi, i leader aziendali e i gestori delle crisi (e.g., i team della IT security, ma anche marketing, HR, dirigenza etc.) devono conoscere bene le dinamiche dei propri stakeholder (ognuno i propri: es. IT security le vittime, HR i dipendenti, il marketing i clienti ecc.). Tutte queste operazioni vanno però svolte con un adeguato anticipo e preparate mediante delle specifiche simulazioni di attacco, rivolte al Gold Team, e tipicamente vengono svolte in modalità table top.
Normalmente le capacità della leadership fondamentali per la gestione delle crisi sono sense-making, decision-making, risk-taking[7]. Le capacità di comunicazione sono fondamentali: la gestione delle crisi richiede un insieme di competenze più ampio per superare le varie fasi della crisi e portare l’organizzazione verso la ripresa.
Il caso Norsk Hydro dimostra che le competenze prima, durante e dopo una crisi sono differenti. In particolare, come riportato in letteratura (es. G. Salviotti et al.) si possono riassumere come in tabella le principali aree interessate.
Aree di formazione per la gestione delle crisi | Stadio della crisi |
| Prima di una crisi |
| Durante la crisi |
| Dopo la crisi |
Il Cefriel ha esperienza sia sul piano formativo per l’acquisizione delle competenze evidenziate, sia con lo svolgimento dei cosiddetti Full Spectrum Vulnerability Assessment (FSVA) per testare l’effettiva situazione. La metodologia si va ad affiancare alle altre attività di testing dei sistemi informatici (i normali vulnerability assessment tecnologici).
In questo caso, per alcuni tipi di FSVA, si simula il funzionamento dei cosiddetti Gold Team (che sia affiancano ai già noti team Red, Purple, Green etc.). Il Gold Team è composto da tutte le persone che devono gestire la crisi cyber dal punto di vista degli stakeholder e preparare un piano di gestione adeguato ed in anticipo. La tipica domanda alla quale si cerca di dare risposta è se Il team di gestione delle crisi disponga di procedure efficaci e di capacità sufficienti per gestire le comunicazioni esterne ed interne durante un incidente di sicurezza informatica, anche sulla base di un’adeguata mappatura degli stakeholder.
Le attività di un Gold Team ricalcano le cinque fasi di gestione di una crisi: rilevamento dei segnali di un attacco, preparazione e prevenzione all’attacco, contenimento del danno, recupero dei danni di immagine e apprendimento delle lessons learnt.
Sebbene però la gestione delle crisi sia un argomento discusso da anni, non è ancora chiaro se la gestione delle crisi cyber sia del tutto identica. Elementi come l’assenza di confini chiari intra o extra aziendali, l’alterazione della sequenza temporale rispetto alle crisi tradizionali, la presenza di vuoti o incertezze decisionali (es. fra gruppi IT, HR, management o politica) e il maggiore rischio di escalation incontrollate, anche a distanza di anni, fanno di una crisi cyber una crisi variegata e trasversale (ad esempio, la gestione post-crisi è una fase che differenzia le crisi normali e quelle cyber)[8].
Come tale, possono essere necessarie competenze di leadership aggiuntive e una tempistica diversa rispetto a una crisi “tradizionale”. Proprio per questo motivo la formazione, l’adeguata preparazione e il test in situazioni realistiche e dedicate, tramite un Gold Team, assumono un’importanza notevole.
NOTE
Prevezianou, M. F. (2021). Beyond ones and zeros: Conceptualizing cyber crises. Risk, Hazards & Crisis in Public Policy, 12(1), 51-72. ↑
“The role of intangible assets in the modern cyber threat landscape: the HERMENEUT Project”, E. Frumento, C. Dambra, European Cybersecurity Journal, Volume 5 (2019) Issue 1, 56-65. ↑
Si veda ad esempio il libro Kevan Scholes, Richard Whittington, Exploring Corporate Strategy. ↑
G. Salviotti, N. Abbatemarco, L.M. De Rossi, K. Bjoernland, “Understanding the Role of Leadership Competencies in Cyber Crisis Management: A Case Study”, Proceedings of the 56th Hawaii International Conference on System Sciences, 2023, Disponibile online. ↑
Bechler, C. (1995), “Looking beyond the immediate crisis response”, Journal of the Association for Communication Administration, Vol. 1, pp. 1-17. ↑
Nel maggio 2018, Cathay Pacific ha perso il controllo dei dati personali di circa 9,4 milioni di passeggeri, tra cui 860.000 numeri di passaporto, 245.000 numeri di carte d’identità di Hong Kong, 403 numeri di carte di credito scadute e 27 numeri di carte di credito attive senza CVV, e-mail, indirizzi fisici e programmi frequent-flier, oltre a informazioni storiche sui viaggi, qui. ↑
James, E. H., & Wooten, L. P. (2005). Leadership as (un)usual: How to display competence in times of crisis. Organizational Dynamics, 34(2), 141-152. ↑
ENISA (2014). Report on Cyber Crisis Cooperation and Management. ENISA ↑
