La communication est la pratique consistant à tenir les bonnes personnes informées, de manière exacte et en temps voulu, tout au long d'un incident. Elle englobe les parties prenantes internes, les tiers externes, les conseils juridiques et les régulateurs, en veillant à ce que chaque public reçoive ce dont il a besoin sans propager confusion, spéculation ou affirmations prématurées.
Au sein de la phase de réponse, la communication est un fil parallèle qui court du premier incident confirmé jusqu'à la résolution. La réponse technique s'attaque à la menace elle-même, mais un incident est aussi un événement organisationnel assorti d'obligations envers les salariés, les clients, les partenaires et les autorités. Une mauvaise communication peut aggraver le préjudice, en érodant la confiance ou en manquant à des obligations de notification, même lorsque la réponse technique est solide.
En pratique, la communication consiste à informer la direction et les équipes touchées, à se coordonner avec le service juridique pour comprendre les obligations de divulgation, et à préparer des messages clairs pour les clients ou le public lorsque c'est nécessaire. De nombreuses juridictions et de nombreux contrats imposent des délais de notification précis pour certains types de violations, de sorte que la communication juridique et réglementaire doit être opportune et précise. En interne, une source unique de vérité et des porte-parole désignés évitent les messages contradictoires. Une communication efficace se planifie à l'avance, avec des modèles, des contacts et des points de décision prêts, afin que, pendant un incident, l'organisation informe plutôt qu'elle n'improvise.
Références#
- NIST SP 800-61, Computer Security Incident Handling Guide
- CISA, Incident reporting guidance