Jean-Luc Allard Comunicação é uma atividade chave para qualquer ser humano. Isto também é o caso para uma organização. Ela auxilia na troca de informações mais corretas para a melhor audiência no melhor momento. É certamente importante na gestão da segurança, porque você quer que as pessoas reajam de forma apropriada.
Também é importante que comunicação eficaz, em conteúdo, forma e tempo, crie confiança tanto para as partes interna quanto externa. Ela mostra quão preparado você está, e se você é reativo ou, melhor, proativo.
A ISO 27001 trata o assunto comunicação por três vezes, e organizações querendo implementar o SGSI tem que olhar atentamente estes requisitos.
O que é exatamente um Plano de Comunicação?
A cláusula 7.4 requer uma resposta clara para uma série de questões sobre assuntos de segurança: Quem deveria comunicar? Para quem? Quais mensagens? Sobre o quê? Quando? E como?
Vamos olhar mais atentamente sobre como tratar estas questões.
Sobre o quê? (conteúdo) Organizações deveriam comunicar claramente o que é importante para elas: a necessidade por segurança da informação e a necessidade de estar em conformidade com os requisitos e políticas.
Ele tratará assuntos de gestão de risco, objetivos de segurança novos ou alterados, e vulnerabilidades, eventos ou incidentes para iniciar a resposta adequada para todos, e especialmente o pessoal treinado que executa as reações planejadas. A celebração de conquistas e o reconhecimento de comportamentos seguros excepcionais possuem efeitos muitos positivos.
Incluir cláusulas e requisitos de segurança em contratos também é uma forma de comunicar seus requisitos para provedores de serviço e de produto. Assim, ele poderia ser considerado uma parte do Plano de Comunicação.
Quais mensagens? (forma & formato) Mensagens deveriam ser claras em sua forma e conteúdo para produzir o comportamento esperado. O tipo de mídia de comunicação é tratado aqui. Você pode usar estórias curtas, imagens, metáforas ou desenhos.
Mensagens deveriam ser curtas e focadas em seu real propósito. Você certamente se lembra do critério SMART que você pode usar para ter certeza de que sua mensagem está completa.
Quem? Organizações deveriam esclarecer quem está autorizado a comunicar, especialmente com partes externas. Internamente, a alta administração e o CISO e o suporte ao usuário são bons exemplos. Grandes organizações têm seus Gestores de Relações Públicas para comunicar com as partes externas.
O comunicador deveria ter a autoridade apropriada para assegurar que a mensagem será recebida com a atenção necessária e será seguida pela ação ou reação esperada.
Para quem? Nem todo mundo deveria receber todas as mensagens. Mensagens deveriam ser direcionadas para uma audiência específica, dependendo da classificação da informação, do conhecimento técnico necessário e do papel na organização. O Plano de Comunicação deveria ser endereçado apenas àqueles que irão se beneficiar dele ou que necessitam agir com base nele – e.g., diferentes partes interessadas tais como usuários, parceiros, provedores de serviço internos e externos, organismos reguladores, acionistas, etc. Veja também este artigo: Como identificar partes interessadas de acordo com a ISO 27001 e ISO 22301.
Como? (processo) A mais simples e primeira forma é a política de segurança e todos os documentos que descrevem o que fazer (e como) para atingir os objetivos da política. Mensagens deveriam ser preparadas e aprovadas, particularmente no caso de incidentes e crises.
Canais (e protocolos) definidos deveriam ser utilizados para assegurar que a comunicação atinja a audiência desejada no melhor momento e com a melhor efetividade possível. Exemplos: emails, telas de pop-up, proteções de tela, posters, mensagens de áudio, reuniões, políticas e diretrizes, etc.
Quando? A comunicação deveria ser ao mesmo tempo contínua e baseada em eventos (em reação a eventos).
Você deveria assegurar que a mensagem a ser comunicada seja continuamente retransmitida, por exemplo, para recém-chegados e a intervalos periódicos, para assegurar que ela não será esquecida.
Você também deveria ser capaz de modificar as mensagens ou introduzir novas mensagens ou formatos e canais quando a situação assim requerer. Comunicar em condições normais pode ser bastante diferente em comparação a comunicação durante incidentes e crises.
Plano de Comunicação Interno vs. Externo
É importante reconhecer que o Plano de Comunicação tem aspectos internos e externos. Eles responderão de formas diferentes as seguintes questões.
Plano de Comunicação Interna. A Alta Administração usa o Plano de Comunicação para enviar mensagens sobre seus objetivos e comprometimento com relação a segurança da informação. Alguns exemplos são: A Política de Segurança da Informação, a organização da segurança com os papéis e responsabilidades chave, o plano de Conscientização, os requisitos gerais e específicos para responder a incidentes.
Contudo, o Plano de Comunicação Interna não deveria permanecer unidirecional. Os canais (telefone e email, por exemplo) deveriam também ser conhecidos e usados para comunicação “bottom-up” a partir da base (os usuários) para a administração sobre eventos ou alguma nova vulnerabilidade.
Plano de Comunicação Externa. Muitos dos exemplos dados acima relacionados ao Plano de Comunicação Interna também são aplicáveis ao Plano de Comunicação Externa.
Você talvez precisa comunicar para o mundo externo: autoridades regulatórias, autoridades públicas, acionistas, clientes e parceiros, para anunciar eventos, sejam eles positivos (sucessos) ou negativos (incidentes, acidentes e crises). Aqui também você precisará de um Plano de Comunicação respondendo as mesmas questões acima.
Contudo, neste caso, você terá que ser mais cauteloso para não expor ou disseminar informação sensível que tornará a situação ainda pior.
Como documentar o Plano de Comunicação?
Dependendo do tamanho da organização e de seus objetivos de segurança, o Plano de Comunicação poderia ser mais ou menos formal, totalmente documentado como um documento separado ou simplesmente declarado em poucas sentenças dentro de outras políticas, procedimentos e planos.
Desde que as mensagens desejadas sejam passadas para aqueles que deveriam tirar o melhor proveito delas, sua solução será adequada as necessidades e recursos que você pode destinar a elas.
Por que um Plano de Comunicação é importante?
Para concluir, o Plano de Comunicação é uma questão de criar e manter confiança em 1) sua prontidão, 2) sua capacidade de enfrentar eventos, e 3) sua habilidade de se recuperar de crises.
O Plano de Comunicação é um elemento chave em um bom Sistema de Gestão de Segurança da Informação. Um dos retornos sobre investimento (em segurança) de um bom Plano de Comunicação, como requerido pela ISO 27001, é uma imagem forte, tanto interna quanto externa. Perder a confiança interna (ou de acionistas) é algumas vezes pior do que perder sua imagem pública. Você arrisca uma implosão.
Depois de configurar seu Plano de Comunicação, use este Conformio compliance software para lidar com toda a comunicação com seus colegas.
Nós agradecemos a Rhand Leal pela tradução para o português.
