サイバー危機におけるコミュニケーション

社内

• C-Level および取締役会：エグゼクティブブリーフィング、財務/法務上の影響
• 従業員：実務的な指示、不安の解消
• IT およびセキュリティ：技術的詳細、対応の調整
• 法務および Compliance：法的および規制上の影響

社外

• 顧客：直接的な影響、保護策
• パートナー/サプライヤー：サプライチェーンにおける露出、協力
• メディア：プレスリリース、管理されたインタビュー
• 規制当局：ANPD、CVM、BACEN - 正式な通知
• 一般の人々：ソーシャルネットワーク、企業ウェブサイト

最初の2時間：

• C-Level および CSIRT への社内コミュニケーション
• 危機コミュニケーション計画の発動
• holding statement の準備

最初の6〜12時間：

• 従業員へのコミュニケーション（社内メール）
• 直接影響を受けた顧客への通知
• 初の公開コミュニケーション（ウェブサイト/ソーシャルネットワーク）
• support teams 向けの FAQ の準備

最初の24〜48時間：

• 確認された詳細を含む公式プレスリリース
• 規制当局への通知（ANPD：最大2営業日以内）
• 全顧客基盤への広範なコミュニケーション
• 該当する場合、株主/投資家へのブリーフィング

その後の数週間：

• 調査の進捗に関する定期的な更新
• 実施された是正措置の発表
• 最終報告書と lessons learned（解決後）

Holding Statement（初期）：

「当社は[システム/データ]に影響を及ぼしたセキュリティインシデントを認識しています。当社のチームは 積極的に調査を行い、影響を封じ込めるための措置を講じています。新たな情報が得られ次第、 ステークホルダーの皆様に引き続きお知らせします。」

顧客への通知：

「[インシデントの説明]が[日付]に発生したことを確認しました。[データの種類]が 漏えいした可能性があります。[不正利用]の証拠は確認されていません。 [具体的な対応：パスワードの変更、明細の確認]を行うことをお勧めします。当社は[保護/監視サービス]を提供しています。 詳細については：[連絡窓口]。」