'보안 책임자에게 전하는' 유출 사고 시 커뮤니케이션 가이드

커뮤니케이션 계획이 통합돼 있어야 한다 사건 대응 계획이 갖춰져 있나? 커뮤니케이션은 포함되어 있나? 레이의 “많은 조직들은 계획에 한가지 중대한 요소를 간과한다. 바로 현재 발생 중인 사건에 있어서 이해당사자들과 커뮤니케이션을 공유하는 것이다"라고 지적했다. 그는 이어 "이는 커뮤니케이션에 집중하게 해준다. 무엇을 소통해야 하는지 멈춰 생각하게 하는 한편, 이사회진 같은 중요 이해당사자들에게도 정직한 거버넌스가 이뤄지고 있음을 보여준다”라고 덧붙였다. 이를 제대로 해내려면 보안, 법률, 인사, IT, 기타 파트너들 사이의 협력이 필요하다. 이런 기능들이 사일로 내에서 작동하기 위해서는 공통적으로 미리 수립된 계획이 필요하다. 분명하고, 상호 이해가 구축되어 있는 계획이다. 이 계획에는 대외적인 발표를 위한 분명한 접근방식에 더해 핵심 이해당사자들과 소통하는 방식을 포함하도록 해야 한다. 유출이 발생하기 이전에 미리 프로그램을 구축하라.

계획을 테스트하라 계획을 수립하는 것은 첫 번째 단계다. 그 계획을 제대로 운영시키는 것이 다음 단계다. 레이는 운영의 중요성에 대해 복서 마이크 타이슨의 발언을 인용했다. “계획이란 얼굴에 펀치를 맞기 전까지 보유하는 것"이라는 말이다. 즉 압박 상태에서는 상황이 완전히 달라질 수 있음을 명심해야 한다는 설명이다. 레이는 이어 자신 경험을 돌이켜볼 때 유출의 스트레스가 가져오는 문제는 "과도한 커뮤니케이션을 하려는 성향"이라고 설명했다. 그는 “대응 계획을 연습하는 것은 준비 프로세스의 중요한 단계다. 조직 내 멤버들이 어떻게 같이 가장 잘 작업할 수 있는지 이해하고 프로세스에서 잠재적 격차를 식별하는데 도움을 준다. 반나절을 할애 해 가상 테스트를 해보면 진짜 사고의 혼란을 극복하기 위한 준비에 도움을 줄 것이다”라고 말했다.

대응 시 정보 누출을 예상하라 레이는 누출에 대비하라고 경고한다. “유출사고가 발생할 때 대응팀은 정보 누출이 발생할 것을 예상하고 사고 발생 순간부터 그에 대비해야 한다”라고 그는 말했다. 누출을 관리하기 위해 레이는 '미디어 대상 보도 자료' 마무리 및 공개 작업에 초점을 맞추라고 제안한다. 사고를 인정하고, 조직이 (현재까지) 문제 해결을 위해 취한 단계들을 공유하고, 업계 전문가 혹은 사법부와의 협력관계에 대해 진실되게 확인해주고, 직원/고객 정보 보호를 위한 공식적인 약속을 제시해야 한다. 또 조사 완료 전 정보가 샐 가능성에 주의하고 대비해야 한다.

너무 일찍 능동적으로 커뮤니케이션 하지 말라 정보 공유에 대한 압박은 막대하다. 여기서 많은 회사들이 실수를 저지른다. 레이는 “일찍 일어나는 새가 항상 벌레를 잡아먹지는 못한다. 빠르게 움직이더라도 너무 일찍 정보를 내보내면 데이터 유출에 대해 조직에 해가 될 수 있다는 점을 명심해야 한다"라고 강조했다. 그는 "특히 조사 초기에 수치를 발표하지는 말아야 한다. 그 수치가 종종 바뀔 수 있다. 유출된 정보의 수치를 과도하게 부풀리거나 줄이는 경우 조직이 사고를 제대로 처리하지 못하고 있다는 인상을 남길 수 있다”라고 덧붙였다.

메시지를 관리하라 레이는 기억해야 할 조언 몇 가지를 제시했다. 먼저 고객이건 직원이건 영향 받은 사람들이 당신의 중심이 되어야 한다. 분명하고 직접적인 방식으로 소통하라. 전통적인 매체와 디지털 매체를 모두 활용하라. 일어난 사건의 기술적인 세부내역에 너무 집중하면 안된다. 최소한 커뮤니케이션 과정에서는 그래서는 안된다. 여러 청중 입장에서도 사건을 생각해봐야 한다. 그들에게 정보와 그들 스스로를 보호하기 위해 필요한 가이드를 제공하라. 가능하면 그들 자체적으로 행동을 취하는데 도움을 주는 것이 좋다. 레이는 또 피해자처럼 행동하지 말라고 권했다. “조직이 범죄의 피해자인 것은 사실이다. 그러나 이 점에 지나치게 초점을 맞추면 책임감을 전가하려 한다는 인상을 줄 수 있다”라고 말했다.

정보 허브를 만들라 사람들은 어디에서 정보를 얻나? 이해 당사자들과 관련자들이 가야 할 구체적인 장소를 마련하라. 회사 웹사이트 일부가 될 수도 있고 다른 곳일 수도 있다. 이를 활용해 공식 업데이트를 제공하라. 알려진 세부내역과 가능한 업데이트들을 포함해야 한다.

여론을 모니터링하라 레이는 데이터 보안 사고를 파악한 순간 즉각적으로 누출을 파악하기 위해 전통적인 미디어 플랫폼과 소셜 미디어에 걸쳐 모니터링을 시작해야 한다라고 제안했다. 먼저 가능한 소셜 청취 툴들을 활용하라. 그렇게 하려면 종종 다른 팀들과의 통합이 필요하다. 소셜 모니터링을 전통적인 미디어의 정기적 스캔과 합쳐서 진행하라. 대중 정보의 톤, 볼륨을 이해하고 대중정보에 대한 모든 업데이트 혹은 끼어드는 이해당사자/영향력 행사자들을 이해해야 한다. 한편 이렇게 수립한 모니터링 채널은 진행 중인 대응 전략을 알리는데 활용할 수도 있다.

평판 회복 “데이터 보안 사고는 광범위하고 장기적인 명성 우려로 조직의 운영권에 중대한 영향을 미칠 수 있다. 즉각적인 위기가 잦아들면 팀은 브랜드 회복 전략을 고려해야 한다”라고 레이는 제안했다. 평판 회복 전략의 목표로는 클라이언트 관계 보호, 클라이언트 우려에 대한 신속한 대응, 데이터 보안에 대한 회사의 헌신 강화, 미래의 리스크로부터 회사를 보호하는데 도움을 주기 위한 운영 코스 도식화 등이 있을 수 있다. 레이는 브랜드 재구축이 조직의 강점, 개선 분야, 훌륭한 데이터 보안에 대한 약속 등에 대한 지속적이고 신뢰할 수 있는 이야기를 만들어내는 데서 시작될 수 있다고 설명했다.