Odporność organizacji wspierana przez działania informacyjne
Rozporządzenie DORA, ma na celu jest zwiększenie operacyjnej odporności cyfrowej podmiotów finansowych oraz uregulowanie świadczenia usług ICT na rynku finansowym.
Artykuł 14 z DORA dotyczy kwestii odporności organizacji poprzez stosowanie działań informacyjnych w sytuacji kryzysowej. Co ciekawe, w innych ważnych dokumentach jak Ustawa Krajowy System Bezpieczeństwa (UKSC) nie mamy bezpośredniego zapisu o znaczeniu public relations. W normie ISO/IEC 27001 jest mowa o ogólnych działaniach komunikacyjnych (kontakt z regulatorami i specjalistycznymi grupami).
Dlatego z punktu widzenia organizacji, odpowiednie zapewnienie warunków organizacyjnych podczas incydentu czy poważnego incydentu – jest związane z profesjonalną komunikacją.
Głośne wycieki danych w Polsce (link), pokazały jak ważna jest komunikacja w celu ochrony reputacji (link) organizacji oraz ochrony i zabezpieczenia interesów klientów, partnerów, współpracowników – szeroko rozumianych – poszkodowanych.
Poniżej komentarz ekspercki do zapisów rozporządzenia DORA
Komunikacja (Artykuł 14 z Rozporządzenia DORA)
- W kontekście ram zarządzania ryzykiem związanym z ICT, o których mowa w art. 6 ust. 1, podmioty finansowe posiadają plany działań informacyjnych na wypadek wystąpienia sytuacji kryzysowej umożliwiające odpowiedzialne ujawnianie, co najmniej, poważnych incydentów związanych z ICT lub podatności klientom i kontrahentom, a także, w stosownych przypadkach, opinii publicznej.
KOMENTARZ EKSPERTA – ŁUKASZ ZAJĄC
Plany działań informacyjnych na wypadek wystąpienia sytuacji kryzysowej i incydentów to zestaw dobrych praktyk spisanych i przećwiczonych dla konkretnej organizacji. Plan może być zapisany w formie manuala lub playbooka. Najważniejszy, żeby był konkretny, z przypisanymi rolami, oświadczeniami, sposobami komunikacji oraz nie był za długi. Inaczej może zamienić się w fasadową dokumentację.
Kolejna rzecz, to nadanie planom znaczenia strategicznego. Na poziomie kierownika podmiotu/ zarządu, powinien być wyznaczony ekspert PR z doświadczeniem w sytuacjach kryzysowych. Jego rolą jest uświadomienie pozostałym aktorom: zarząd, CISO, compliance, HR, bezpieczeństwo, IT znaczenia sprawnej komunikacji w celu ochrony reputacji. Tu także liczy się czas reakcji, zdobyte doświadczenie, baza case-studies i rozumienie aktualnego systemu mediów i internetu.
- W kontekście ram zarządzania ryzykiem związanym z ICT podmioty finansowe realizują politykę komunikacyjną dla pracowników wewnętrznych i interesariuszy zewnętrznych. W polityce komunikacyjnej skierowanej do pracowników uwzględnia się potrzebę rozróżnienia między pracownikami zaangażowanymi w zarządzanie ryzykiem związanym z ICT, w szczególności pracownikami odpowiedzialnymi za reagowanie i przywracanie sprawności, a pracownikami, których należy informować.
KOMENTARZ EKSPERTA
Wyznaczenie priorytetów odbiorców w komunikacji. Dopiero potem mówimy o kanałach. Ogólna zasada: pracownicy dowiadują się o incydencie od swoich przełożonych. Nie z serwisów o bezpieczeństwie czy social mediów.
Nie ma też jednego uniwersalnego ogłoszenia. Ekspert PR opracowuje kilka wersji i jest odpowiedzialny za dystrybucję materiałów w odpowiednim czasie i kontekście. Przykładowo, nie od razu jest potrzebna wypowiedź zarządu. Na początku wystarczy wstępne oświadczenie ogólne oraz wcześniejsze lub równoległe poinformowanie regulatorów (UODO czy organów ścigania oraz zawsze CESIRT).
Warto pamiętać również o zapasowych kanałach komunikacji, szczególnie w sytuacji gdy nie działa zwyczajna infrastruktura ITC i ważna jest redundancja, czyli zachowanie zapasowej łączności i dalsze świadczenie usług.
Do kontaktu z mediami delegujemy eksperta PR. On bierze na siebie zapytania i telefony od dziennikarzy oraz kwestie oświadczeń. Powinien mieć przygotowany wcześniej scenariusz współpracy z działem prawnym, HR, marketingiem, bezpieczeństwem i CISO.
- Co najmniej jednej osobie w podmiocie finansowym powierza się zadanie wdrożenia strategii komunikacyjnej w zakresie incydentów związanych z ICT i w tym celu pełni ona funkcję osoby ds. kontaktów z opinią publiczną i mediami.
KOMENTARZ EKSPERTA
Osoba do kontaktu z mediami – ekspert PR, rzecznik, opracowuje niezbędne i krótkie procedury reakcji zarządzania kryzysowego. Zawsze ma wydelegowaną osobę na zastępstwo.
Ta osoba powinna mieć formalne pełnomocnictwo do wydawania rekomendacji działań lub decyzji w zakresie kompetencji komunikacyjnych i public relations.
Dodatkowo, musi mieć bezpośredni kontakt z kierownikiem podmiotu i narzędzia do pracy. To m.in. bieżące raporty SOC/CISO, monitoring mediów i internetu, zapasowy telefon, bezpieczny komputer, samochód służbowy, dostęp do regularnych i zapasowych kont w social mediach, wyznaczony war room, dodatkowo dostęp MITRE ATT&CK® i prawników/ekspertów od compliance, którzy potrafią pracować po presją stresu i czasu.
Od kiedy obowiązuje DORA?
Od 17 stycznia 2025 roku stosowane jest Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego.
Tekst rozporządzenia z Systemu Informacji Prawnej LEX:
https://sip.lex.pl/akty-prawne/dzienniki-UE/rozporzadzenie-2022-2554-w-sprawie-operacyjnej-odpornosci-cyfrowej-72101350/art-14
Czytaj także:
FAQ o KSC i cyberbezpieczeństwo w Polsce
