Comment créer un plan de communication de crise efficace

La réponse aux incidents n’est pas le seul défi auxquelles les CISO doivent faire face lorsqu’ils sont confrontés à une cyberattaque. Les communications d’entreprise jouent également un rôle vital dans la gestion des crises – et pour garantir que les retombées commerciales d’une violation sont également contenues.

Tout comme les CISO doivent développer et tester leurs plans de réponse aux incidents, ils doivent également aider à développer, mettre en œuvre et tester un plan de communication de crise, en collaboration avec leurs collègues commerciaux, en particulier dans les communications d’entreprise.

Du point de vue des communications, la prévention de la crise efficace a trois éléments et ne commence pas seulement lorsque la crise s’est produite. Les mesures suivantes doivent généralement faire partie des communications d’entreprise:

• Un plan de communication de crise prépare de manière optimale l’entreprise à tous les scénarios de crise possibles. Cela comprend des règles de conduite et de communication claires, du contenu préparé et des canaux et outils de communication sécurisés.
• La surveillance sur Internet montre comment la crise est perçue dans les réseaux sociaux et les médias. Les publications endommageant la réputation peuvent être identifiées tôt et les contre-mesures peuvent être lancées.
• Une bonne communication dans les activités quotidiennes crée des contacts établis avec les leaders d’opinion. De bonnes relations et une forte réputation peuvent être exploitées en période de crise.

Obtenir la bonne structure d’équipe de crise

Pour garantir une communication cohérente et une réponse rapide à tous les défis en cas de crise, une structure de responsabilité de communication claire est essentielle. Bien que la responsabilité globale de l’action correcte de l’entreprise dans une crise réside dans la gestion, la responsabilité de la communication de crise doit être attribuée au service des communications d’entreprise.

Seuls les responsables de la participation active aux décisions de communication devraient participer au groupe de travail d’urgence des communications de crise. Ce comité n’est pas doté en fonction des critères hiérarchiques.

L’un des principaux objectifs du groupe de travail est d’établir une équipe élargie de l’intervention d’urgence des communications de crise (CCERT), y compris des membres de toutes les divisions d’entreprise. L’objectif du CCERT est d’informer toute l’organisation de la situation actuelle. Et parce que cela résulte des mesures concrètes prises de la part de la cybersécurité et des équipes informatiques pour résoudre les problèmes sous-jacents, un membre des communications d’entreprise et un membre de la cybersécurité ou il doit diriger conjointement le CCERT.

En plus de déployer des mesures de communication, le CCERT doit également surveiller les rapports externes de l’incident – et décider d’adapter les mesures et le contenu de communication.

Construisez les infrastructures d’urgence tôt

La planification de la communication de crise implique de nombreux aspects pratiques. Ceux-ci incluent, par exemple, l’identification de la salle dans laquelle les réunions de gestion de crise en direct peuvent avoir lieu et la façon dont les réunions en ligne seront effectuées.

En cas de cyber-crise, il faut toujours tenir compte du fait que des outils de communication tels que le courrier électronique, le chat, la ligne fixe ou la téléphonie IP peuvent ne pas être disponibles.

Il faut également s’attendre à ce que le réseau informatique soit inaccessible ou devra être fermé pour des raisons de sécurité. Par conséquent, tous les documents préparés et listes de contacts de l’équipe de crise doivent être accessibles même sans accès au réseau informatique interne.

Les membres de l’équipe doivent utiliser des comptes de messagerie qui fonctionnent indépendamment de l’infrastructure informatique de l’entreprise. La direction doit accorder une attention particulière à la protection et à la sécurité des données lors de la création de cette infrastructure de communication alternative pour les situations de crise.

Créer une sortie de communication de crise

Où les entreprises devraient-elles commencer par leurs communications d’urgence initiales? Supposons que les réseaux d’entreprise ne fonctionnent plus et le site Web de l’entreprise n’est plus accessible. Un autre site doit ensuite être lancé.

Ce site alternatif devrait être un site Web préparé contenant les informations les plus importantes pour les clients, les partenaires et le public en cas de crise. Une grande partie de cela peut être construite à l’avance, avec des zones claires pour une communication spécifique autour de l’incident et la réponse de l’entreprise prête à être remplie de détails si nécessaire. L’adresse du site Web principal de l’entreprise devrait être redirigea vers ce site alternatif dès que possible.

Le site alternatif peut être utilisé pour publier en continu des informations actuelles sur la gestion de la crise et de la crise, ainsi que des adresses de contact pour les personnes concernées, les médias et les partenaires. Il doit être clarifié à l’avance qui au sein du CCERT est responsable de l’édition du site alternatif.

Stratégie de communication à plusieurs niveaux

Crucial pour des communications externes efficaces est que les utilisateurs des médias et des réseaux sociaux reçoivent des informations d’une seule source. Par conséquent, il faut préciser que seuls les employés des communications d’entreprise ont désigné l’expérience des relations publiques fourniront des déclarations aux médias.

Tous les services doivent être informés de leurs coordonnées médiatiques. Les relations de presse pendant une crise sont généralement menées à plusieurs étapes.

Immédiatement après le déclenchement d’une crise, une déclaration préparée doit être mise à disposition et publiée sur demande. Cette déclaration peut ne pas contenir de détails sur l’incident lui-même, mais doit exprimer sa volonté de s’engager dans une communication ouverte.

Étant donné que la plupart des cyber-incidents suivent un modèle similaire, les documents peuvent être bien préparés. Plus l’étendue de la crise est connue en interne, plus l’instruction initiale peut être concrète.

Dès que la cause et l’étendue de la crise sont identifiées, un communiqué d’informations actif avec des messages clés sera émis. Encore une fois, comme les formes les plus courantes de cyberattaques sont connues, ce communiqué de presse peut également être préparé à l’avance.

Si nécessaire, des déclarations supplémentaires peuvent être ajoutées qui sont importantes pour comprendre l’incident ou protéger la réputation ou contenir des informations supplémentaires pour les personnes touchées.

En ce qui concerne la communication active, il est important de noter que les systèmes internes, tels que les listes de contacts multimédias ou d’outils pour l’envoi de communiqués de presse, ne sont probablement plus disponibles. Des solutions de cloud public alternatives peuvent fournir une solution de travail ici. Cependant, les données les plus importantes, telles que les adresses e-mail privées et les numéros de téléphone portable des membres de l’équipe de crise et les principaux partenaires d’urgence externes, doivent toujours être stockés sur le support le plus sécurisé au monde: le papier.

Un deuxième communiqué de presse suivra sous peu avec des informations supplémentaires sur l’incident, une explication de la stratégie de réponse de crise et des informations pour les personnes touchées. D’autres communiqués de presse suivront à mesure que la crise se développera.

La quatrième phase facultative peut généralement être utilisée de manière communicative pour renforcer la confiance: les directeurs de gestion et les membres de l’équipe d’experts peuvent se présenter ensemble sur les chemins qui ont conduit à la gestion réussie de la crise.

Le manuel des communications de crise

Le manuel de communication de crise devrait faire partie du manuel du plan de réponse aux incidents de CISO, ainsi que du manuel d’urgence global de l’entreprise pour tout type de crise. Le manuel de communication de la crise doit inclure, par exemple, les éléments suivants:

• Définition d’une crise
• Définition des responsabilités
• Listes des membres des équipes de crise avec tous les coordonnées, y compris les adresses e-mail privées et les numéros de téléphone privés
• Description des tâches des comités
• Définition des processus
• Définition de tous les canaux de communication utilisés pendant la crise (avec une affectation de groupe cible)
• Définition de tous les outils de communication en crise
• Définition des rôles de haut-parleur
• Organigrammes (de l’identification de la crise à sa résolution)
• Description de la culture de la communication
• Documents pré-écrits

L’expérience a montré qu’un manuel de communication de crise doit toujours être élaboré dans un processus qui implique la gestion, le service des communications, le service informatique, les experts en sécurité et les départements concernés d’une entreprise. C’est une facette vitale de la survie de l’entreprise en cas de crise, car les clients et les partenaires risquent de rompre les relations avec votre entreprise en raison d’un manque de communication efficace lorsque la crise frappe.

Comme les scénarios de table de cybersécurité, la communication de crise déclenchée par une cyberattaque doit également être pratiquée régulièrement. Il commence par la déclaration de la crise et se poursuit grâce au rapport final. Cela vérifie si les mesures fonctionnent, les comités fonctionnent, les processus fonctionnent comme prévu et les modèles conviennent.

Voir aussi:

• Planifiez maintenant pour éviter une défaillance des communications après une cyberattaque
• Comment créer un plan de réponse aux incidents efficace
• Scénarios d’exercice de table: 10 conseils, 6 exemples