CISA e FBI: niente PR spin durante gli outage IT/OT

CISA e FBI hanno rilasciato una guidance congiunta che esorta i service provider a comunicare i fatti senza filtri di marketing durante gli outage IT e OT. Il documento, intitolato Communicating Under Pressure: Best Practices for Service Providers, è stato emesso in collaborazione con le agenzie di cybersecurity di Australia, Canada, Nuova Zelanda e Regno Unito. Segna un punto di svolta: le comunicazioni disfunzionali durante le crisi tecniche sono ora trattate come rischio sistemico, non come problema di relazioni pubbliche.

Da "reputation management" a "actionable guidance"

Il cambiamento di registro è netto. Secondo la fonte citata, la guidance esorta i service provider a "focus communications on actionable guidance rather than reputation management". Non si tratta di un consiglio stilistico: è una ridefinizione operativa della priorità durante un outage.

Il messaggio è che ogni minuto speso a costruire narrazioni difensive è un minuto sottratto alla mitigazione tecnica e alla protezione degli utenti. La raccomandazione si applica a qualsiasi interruzione che coinvolga sistemi IT o OT, con particolare attenzione agli scenari in cui la root cause è ancora in investigazione.

Un framework organizzativo con ruoli e audience fissati

Il documento non si limita a principi. Definisce una struttura organizzativa con 3 ruoli chiave: l'incident lead, il communications lead e lo spokesperson. I team tecnici e quelli di comunicazione devono operare in parallelo, non in sequenza, per evitare che la raccolta di informazioni rallenti la divulgazione o viceversa.

L'audience è segmentata in 6 categorie precise: team IT e SOC, dipendenti e clienti, partner governativi e regolatori, proprietari e operatori di infrastrutture critiche, media, pubblico generale. Ogni segmento riceve informazioni calibrate sul proprio livello di azione: i team tecnici hanno bisogno di dettagli operativi, il pubblico generale di istruzioni concrete su come proteggersi.

Single source of truth e aggiornamenti con timestamp

La guidance raccomanda di stabilire un outage communications plan prima dell'incidente, con threshold di attivazione, percorsi di escalation e audience target predefinite. Durante l'evento, i service provider devono usare una "single source of truth" — tipicamente una status page — con aggiornamenti continui e time-stamped che mostrino la timeline dell'incidente, le azioni intraprese e i milestone di recovery.

Il timestamping non è un dettaglio formale: serve a rendere verificabile la cronologia delle dichiarazioni e a prevenire la diffusione di informazioni obsolete o contraddittorie attraverso canali non ufficiali.

Bilanciamento con la operational security

Un punto di tensione emerge quando l'outage potrebbe essere legato a attività malevola. La guidance richiede di bilanciare trasparenza e operational security: comunicare abbastanza per permettere difesa e recovery, non abbastanza da fornire intelligence agli attaccanti. Il dossier non dettaglia criteri specifici per questo bilanciamento.

"effective communication is critical to limiting operational impact when IT and OT outages affect customers, network defenders, critical infrastructure owners and operators, and the public" — CISA/FBI guidance

Cosa fare adesso

I service provider devono agire su 4 fronti concreti derivanti dalla guidance:

1. Audit del piano di comunicazione outage. Verificare se esiste un outage communications plan con threshold di attivazione, escalation paths e audience target definite prima dell'incidente. Se assente, è prioritaria la stesura.

2. Definizione dei 3 ruoli chiave. Assegnare esplicitamente incident lead, communications lead e spokesperson, con workstream paralleli documentati per evitare conflitti di priorità durante la crisi.

3. Segmentazione delle 6 audience. Mappare i destinatari effettivi delle comunicazioni — team IT/SOC, dipendenti/clienti, partner governativi, operatori di infrastruttura critica, media, pubblico — e preparare template calibrati per ciascuno.

4. Implementazione della single source of truth. Attivare una status page come fonte primaria di aggiornamenti time-stamped, con timeline dell'incidente, azioni intraprese e milestone di recovery visibili e verificabili.

Perché è importante

Il documento non contiene requisiti tecnici di patching, vulnerabilità specifiche o indicatori di compromesso. È pura guidance di governance della comunicazione, un dominio che CISA tradizionalmente non regolamentava con questa granularità. Il fatto che l'agenzia lo faccia ora, in co-branding con FBI e 4 alleati del Five Eyes, suggerisce che le disfunzioni comunicative osservate negli outage recenti di portata globale siano state giudicate recidive sistemiche, non eccezioni.

La guidance non specifica se sia obbligatoria per enti federali o volontaria per il settore privato. Il dossier non documenta misure correttive per service provider che non aderiscano, né casi studio concreti inclusi nel documento originale.

Domande frequenti

La guidance è obbligatoria per tutti i service provider?

Il dossier non specifica il livello di adozione obbligatoria versus volontaria per enti non federali. Il documento è presentato come best practice, non come regolamento vincolante.

Quali sistemi copre la guidance?

Sistemi IT e OT, con focus su interruzioni che impattano clienti, difensori di rete, proprietari e operatori di infrastrutture critiche, e pubblico generale.

Cosa significa "PR spin" nel contesto della guidance?

Linguaggio di marketing o narrazioni difensive che privilegiano la reputation management rispetto a actionable guidance concreta per gli utenti colpiti dall'outage.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

• https://thecyberexpress.com/cisa-fbi-issue-outage-communications-guidance/
• https://www.securitymagazine.com/articles/102563-avoid-pr-spin-in-it-ot-outages-cisa-advises
• https://www.cisa.gov/news-events/cybersecurity-advisories
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.cve.org/CVERecord?id=CVE-2026-85706
• https://www.cisa.gov/staying-secure-large-scale-events