CISA/FBI: la guidance sulla comunicazione post-attack divide gli esperti

CISA e FBI hanno pubblicato l'8 settembre 2026 una guidance congiunta intitolata Communicating Under Pressure: Best Practices for Service Providers, che esorta i fornitori di servizi a sostituire il "PR spin" con la trasparenza tecnica nei comunicati post-outage. Il documento arriva in un momento di escalation di vulnerabilità conosciute sfruttate attivamente, documentate nel KEV Catalog CISA aggiornato il 14 settembre, e si inserisce nel quadro normativo del Binding Operational Directive 26-04 emesso a giugno. La guidance non impone obblighi: la sua efficacia dipende dall'adesione volontaria.

Il contenuto della guidance: quattro pilastri operativi

Secondo la fonte che ha riportato il documento, la guidance CISA/FBI si articola su quattro azioni chiave. La prima è lo sviluppo di un piano di comunicazione con soglie predefinite per l'attivazione. La seconda è la pratica della trasparenza, che esclude il linguaggio di PR e marketing. La terza impone di fornire informazioni tecniche e analisi della root cause. La quarta richiede l'allineamento del messaging con i requisiti legali e regolatori.

La guidance specifica una distinzione netta tra audience: la comunicazione tecnica va ai team operativi, quella esecutiva ai decisori interni, quella pubblica agli utenti e ai clienti. È vietato il linguaggio vago come "service degradation", che la fonte cita come esempio di eufemismo da eliminare. La raccomandazione sui canali out-of-band è particolarmente dettagliata: i service provider devono stabilirli prima che le infrastrutture primarie siano compromesse.

Il contesto: KEV Catalog in espansione e BOD 26-04

Il rilascio della guidance non è isolato. Il 14 settembre 2026 CISA ha aggiornato il Known Exploited Vulnerabilities Catalog con multiple nuove entry, tra cui prodotti GitLab, JFrog, ConnectWise, MikroTik, Cisco, Fortinet, Citrix. Questo volume di vulnerabilità attivamente sfruttate motiva la necessità di una comunicazione chiara e rapida quando gli incidenti si materializzano.

Parallelamente, il Binding Operational Directive 26-04 emesso il 10 giugno 2026 stabilisce requisiti di forensic triage e prioritizzazione degli aggiornamenti di sicurezza per le agenzie federali. La guidance sulla comunicazione si inserisce in questo quadro, anche se resta distinta dal BOD: il primo è raccomandatorio, il secondo vincolante per le agenzie. La fonte non chiarisce se la guidance si applichi anche ai service provider non federali.

La critica degli esperti: authority, mandati e scenari reali

John Strand, fondatore di Black Hills Information Security, ha sollevato un punto che la guidance non affronta: chi ha l'autorità per decisioni critiche come lo shutdown di rete. Secondo la fonte, Strand ha dichiarato: "When the decision is made to shut down network access, there need to be very clear lines defining who is authorized to make that decision and what political protections exist for the people making those calls". Questa critica separa il protocollo di comunicazione dalla struttura decisionale: un documento può prescrivere cosa dire, ma non chi decide.

Joshua Marpet di Finite State ha spostato la critica sul piano normativo. Citando una sua "legge" personale, ha definito la guidance "useless" senza mandati vincolanti: "Agencies advocating clear communication with timely updates, and avoiding PR style language is great! Useless, but great". La posizione di Marpet evidenzia un divario tra raccomandazione e enforcement: la trasparenza è auspicabile, ma senza conseguenze per la sua violazione resta facoltativa.

Denis Calderone di Suzu Labs ha invece valorizzato il valore operativo della guidance, in particolare per scenari limite. Secondo la fonte, Calderone ha collegato il rilascio all'iniziativa CISA CI Fortify per la disconnessione deliberata di sistemi OT da reti di terze parti in crisi geopolitica. La sua citazione descrive un fall point concreto: "Email is gone, Teams is gone, your status page is offline. Now coordinate your response and communicate with your customers. Most organizations completely fall apart at that point, and that is exactly the scenario this guidance is built for".

Perché è importante

La guidance CISA/FBI documenta un approccio alla comunicazione post-incidente che molte organizzazioni non applicano. La fonte non specifica quanti service provider abbiano adottato la guidance al momento del rilascio, né è disponibile il testo integrale al di fuori del reporting citato. Non emergono meccanismi di enforcement o monitoring dell'adesione.

Il dossier non chiarisce se la guidance sia vincolante per i service provider non federali, lasciando un'area di incertezza giuridica rilevante per il settore privato. La distinzione tra raccomandazione e mandato, sollevata da Marpet, resta il punto aperto più significativo: senza conseguenze per la non adesione, la guidance rischia di essere seguita solo dalle organizzazioni già inclini alla trasparenza.

Il valore documentato dalla fonte risiede nella strutturazione di protocolli operativi per scenari di comunicazione compromessa, dove i canali ordinari sono indisponibili. Questo aspetto, sottolineato da Calderone, ha un merito tecnico indipendente dalla vincolatività normativa.

"Effective communication begins with a factual summary tailored to predefined audiences, avoids PR spin, and adheres to regulatory requirements. Service providers should be transparent by sharing what is known, unknown, and under investigation, while providing frequent, iterative updates as new information emerges or circumstances change"

La guidance si colloca in un trend più ampio: la pressione regolatoria sulla comunicazione incident response si intensifica, ma gli strumenti restano per lo più soft law. Per i service provider, la scelta tra gestione reputazionale e trasparenza tecnica non è neutra: implica revisione dei piani di incident response, formazione dei team comunicazione e ridefinizione delle relazioni con clienti e regolatori. Gli operatori di infrastrutture critiche devono valutare se adottare i protocolli CISA/FBI anche in assenza di obbligo, considerando che la fonte non documenta linee guida alternative con lo stesso livello di dettaglio operativo.

Domande frequenti

Fonti

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.cisa.gov/news-events/cybersecurity-advisories
• https://news.clearancejobs.com/2026/09/08/after-a-cyberattack-cisa-says-transparency-beats-pr-spin/
• https://www.cisa.gov/news-events/alerts/2026/08/11/cisa-adds-three-known-exploited-vulnerabilities-catalog
• https://www.cve.org/CVERecord?id=CVE-2026-20349
• https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog/reducing-significant-risk-known-exploited-vulnerabilities

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti