Короткий ответ
Киберинцидент в муниципалитете нужно освещать рано, честно и по предсказуемому графику: признать факт сбоя, кратко сказать, что известно, что ещё выясняется, дать жителям понятные временные решения и назначить одного ответственного за сообщения. Прозрачность укрепляет доверие и лишает слухи силы, тогда как и туманные формулировки, и полное молчание только вредят.
Главные выводы
- Жители узнают о киберинциденте по неработающим услугам: закрытые окна, задержки разрешений, невозможность оплатить квитанции. Молчание заполняется догадками и недоверием, поэтому первое сообщение должно появиться быстро, даже если деталей мало.
- Эффективным считается сообщение, в котором нет новостей: честная фраза «новых данных нет, мы продолжаем работать» подтверждает реальность события, показывает, что жителей не забыли, и задаёт предсказуемый ритм обновлений.
- Ключевые решения надо принять до инцидента: один пресс-секретарь, круг утверждающих сообщения, заранее одобренные шаблоны и резервные каналы связи на случай, если официальный сайт, почта и телефоны недоступны.
- Первое публичное заявление ведёт с фактов: какие услуги затронуты, что уже известно, что ещё расследуется и как жителям получить помощь прямо сейчас. Технические детали, уязвимости и ход переговоров не раскрываются.
- Прозрачность не противоречит безопасности: муниципалитет обязан сообщать о сбоях, но не обязан раскрывать сведения, которые помогают атакующему или вредят расследованию. Правовые требования по уведомлению граждан отличаются по юрисдикциям и требуют консультации юриста.
Почему молчание в муниципалитете оборачивается против вас
Житель сталкивается с киберинцидентом не через сводки новостей, а через сломанные услуги: не работает портал записи, отложены выплаты, нельзя оплатить коммунальные счета. Когда администрация ничего не объясняет, вакуум заполняется слухами, а раздражение быстро перерастает в недоверие и панику. В отличие от частной компании, которая может тихо устранять сбой, город отвечает перед всем населением, и круг пострадавших намного шире одного клиента.
Желание «сначала всё выяснить, потом говорить» откладывает коммуникацию на дни. Эксперты по работе с городскими инцидентами отмечают, что муниципалитеты часто ведут себя сдержаннее частного бизнеса именно из-за рекомендаций юристов, страховщиков и правоохранителей. Однако в ситуации, когда услуги города массово недоступны, даже короткое сообщение «мы знаем о проблеме, работаем над восстановлением, следите за обновлениями» даёт людям главное — подтверждение и ожидаемую частоту связи.
- Недомолвки рождают мифы быстрее, чем их потом опровергают.
- Людям нужен ориентир: что происходит и когда будет следующее сообщение.
Соберите «коммуникационный позвоночник» до инцидента
Самые трудные решения лучше принимать заранее, а не под давлением. Назначьте единственного ответственного за внешние сообщения, определите, кто утверждает каждый текст, и подготовьте резервные каналы: печатные объявления, радио, телефонную горячую линию, соцсети с независимым доступом. Федеральные методики для государственных структур прямо рекомендуют планировать коммуникацию и публичные сообщения о киберинцидентах на этапе подготовки, а не импровизировать в разгар событий.
Заготовьте «держащие» заявления до того, как что-то случится, и заранее согласуйте, какие категории информации можно раскрывать: затронутые услуги, затронутые данные, сроки, причины. Такое же решение примите для закрытых сведений — они в список «не для публикации» попадают до кризиса, чтобы во время стресса никто не принимал решение на ходу. Отдельно продумайте взаимодействие с IT-службой и службой ГО и ЧС: коммуникация при киберинциденте — это не только работа пресс-службы, а часть общей кризисной организации.
- Один пресс-секретарь и один утверждающий канал.
- Шаблоны первого, промежуточного и финального заявления.
- Резервный канал связи, независимый от атакованной инфраструктуры.
- Согласованный список «что раскрываем / что не раскрываем».
Что должно быть в первом заявлении, а что — придержать
Первое сообщение ведёт с подтверждённых фактов: назовите затронутые услуги, масштаб сбоя и то, что уже установлено. Честно разделите «известно», «пока неизвестно» и «находится в расследовании». Это даёт людям основу для решений и одновременно снимает с вас обязательство отвечать на вопросы, ответов на которые ещё нет.
Жителям нужен практический выход: куда обратиться, как оплатить счёт вручную, продлены ли сроки подачи документов, работает ли горячая линия. По возможности дайте оценку, когда услуги вернутся, даже приблизительную. При этом не раскрывайте технические уязвимости, детали форензики, ход переговоров и неподтверждённую версию об атакующих — такие сведения могут помочь злоумышленнику и навредить расследованию, а их обнародование ничего не даёт жителям.
- Говорите: что случилось, что затронуто, что делается, как получить помощь.
- Не говорите: уязвимости, методы, суммы, переговоры, неподтверждённые версии.
- Избегайте обвинений и «спина» — избыточных обещаний и PR-формулировок.
Держите предсказуемый ритм на всех каналах
Частота сообщений важнее их длины. Если сайт и почта города лежат вместе с атакованными системами, заранее выбранные резервные каналы — печатные объявления у входов, радио, городские соцсети с отдельным доступом — становятся главными. Обновляйте одну общую страницу-«ленту» с временными метками, чтобы жители и журналисты видели последовательность, а не противоречивые посты разных отделов.
Согласуйте сообщения с соседними муниципалитетами, регионом и профильными структурами, чтобы избежать расхождений. Частые короткие обновления «новых данных нет» допустимы и полезны: они поддерживают связь и не дают слухам закрепиться. Каждое заявление помечайте датой и временем, а при изменении фактов прямо уточняйте, что предыдущая информация устарела.
- Обновляйте в фиксированные часы, даже если сказать нечего.
- Используйте независимые каналы: печать, радио, офлайн-объявления.
- Ставьте временные метки и корректируйте устаревшие сведения.
Честность не противоречит юристам и правоохранителям
Транспарентность не означает раскрытия всего. Если идёт расследование, законно придержать детали, которые могут ему навредить или раскрыть уязвимости, — многие региональные «солнечные законы» прямо исключают такую информацию из обязательного раскрытия. Поэтому первым контактом часто становится юрист («breach coach»), который назначает команду реагирования, и часть отчётов защищена адвокатской тайной.
В то же время у органов власти есть правовые обязанности: в ряде юрисдикций при утечке персональных данных требуется уведомить пострадавших жителей и регулятора в определённые сроки. В России операторы государственных информационных систем обязаны сообщать о компьютерных инцидентах в Национальный координационный центр по компьютерным инцидентам (НКЦКИ) в рамках ГосСОПКА; точные сроки и перечень случаев определяются действующими нормативными актами и меняются. Это общая информация, а не юридическая консультация: конкретные обязанности уточняйте у юриста, знакомого с вашей юрисдикцией и отраслью.
- Прозрачность ≠ раскрытие уязвимостей и деталей расследования.
- Проверьте обязанности по уведомлению граждан и регулятора до инцидента.
- Держите в штабе юриста, который знает сроки и исключения.
Как отвечать на панику, гнев и дезинформацию
В первые дни появятся слухи: «украдены все паспорта», «город платит выкуп», «это тест на выборах». Быстро опровергайте то, что точно не подтверждено, отделяя факты от домыслов. Отвечайте на реальную потребность — сроки, способы оплаты, работа служб — а не на провокации. Признание неопределённости «мы пока не знаем, были ли затронуты данные» честнее, чем категоричное отрицание, которое потом придётся опровергать.
Внимательно следите за мошенниками, которые на волне инцидента рассылают фальшивые «официальные» письма и звонки от имени администрации. Предупредите жителей о типичных схемах и сообщите, через какие каналы город действительно связывается с людьми. Эмпатия и ясность здесь важнее скорости: люди прощают задержку, если чувствуют, что к их неудобству относятся серьёзно.
- Опровергайте подтверждённо ложное сразу, не повторяя слух дословно.
- Предупреждайте о мошенниках, действующих «от имени города».
- Отвечайте на практические вопросы, а не на обвинения.
После инцидента: отчёт, выводы и восстановление доверия
Когда услуги восстановлены, опубликуйте простым языком итог: что произошло, какие данные (если были) затронуты, что сделано, чтобы это не повторилось. Итоговый отчёт важнее, чем кажется: именно он показывает жителям, что город учится на ошибках, и превращает кризис в доказательство зрелости. Поделитесь уроками с соседними муниципалитетами и профильными центрами обмена информацией.
Проведите разбор коммуникации так же серьёзно, как разбор технической стороны: что сработало в каналах, где слухи опередили ваши сообщения, был ли соблюдён график. Обновите шаблоны, списки контактов и сценарии с учётом реального опыта. Отсутствие централизованной статистики по инцидентам в муниципалитетах — отдельная проблема, поэтому собственные записи о ходе и итогах инцидента станут ценным материалом для следующего планирования.
- Итоговый отчёт на понятном языке, без канцелярита.
- Разбор коммуникации: каналы, ритм, опередившие слухи.
- Обновление шаблонов и контактов по итогам урока.
Практический инструмент
Шаблон: план информирования жителей на первые 72 часа
Готовый шаблон для пресс-службы и антикризисного штаба: заполните поля до инцидента и используйте как чек-лист в первые три дня. Держите его в бумажном виде и в независимом хранилище.
- Назначенный пресс-секретарь и его заместитель (ФИО, телефон, порядок замещения).
- Утверждающий круг из 2–3 человек, чья виза обязательна для любого внешнего текста.
- Резервные каналы: радио, печатные объявления, городская соцсеть с независимым доступом, горячая линия.
- Шаблон первого заявления: «Обнаружен инцидент, затронуты услуги [список]. Известно: [факты]. Выясняется: [вопросы]. Помощь: [контакты]. Следующее сообщение: [время]».
- Фраза-заглушка без новостей: «Новых данных нет, восстановление продолжается. Следующее обновление — [время]».
- Список «что не раскрываем»: уязвимости, методы, детали форензики, переговоры, неподтверждённые версии.
- Памятка для операторов горячей линии с тремя согласованными формулировками и правилом «не комментируем детали расследования».
- Предупреждение о мошенниках и каналах, через которые город действительно связывается с жителями.
- Шаблон итогового отчёта: что произошло, какие данные затронуты, что сделано, как сообщить о последствиях.
- Журнал обновлений с временными метками и отметками об устаревших сообщениях.
Частые вопросы
Мы пока не знаем, украдены ли данные. Что говорить жителям сейчас?
Не утверждайте ни «утечки нет», ни «украдено всё», пока нет доказательств. Скажите честно: «Расследование продолжается; на данный момент подтверждённых данных об утечке нет, мы проверяем». Объясните, что если факт утечки персональных данных подтвердится, пострадавших уведомят лично и подскажут, что делать. Честное признание неопределённости воспринимается лучше, чем категоричное отрицание, которое потом придётся опровергать. Если у вас есть правовая обязанность уведомлять регулятора или граждан в определённые сроки, уточните её у юриста — сроки считаются с момента установления факта, а не с момента публичного заявления.
Как быстро нужно сообщить жителям о киберинциденте?
Как можно раньше, как только подтверждён факт сбоя и понятен его масштаб, даже если деталей мало. Жители уже замечают проблему по неработающим услугам, поэтому задержка лишь позволяет слухам заполнить пустоту. Первое короткое заявление — что случилось, какие услуги затронуты, как получить помощь и когда будет следующее обновление — лучше выпустить в первые часы. Параллельно запускайте юридически обязательные уведомления по установленным срокам (они могут отличаться от публичной коммуникации и зависеть от юрисдикции). Отдельные требования к срокам уведомления регулятора и граждан уточняйте у юриста.
Нужно ли называть конкретную хакерскую группу или версию атаки?
В публичных сообщениях — обычно нет. Атрибуция часто требует судебной и технической экспертизы, а преждевременное называние группы может оказаться ошибочным и дискредитировать город. Достаточно сказать «мы расследуем инцидент с привлечением профильных специалистов и правоохранителей». Раскрытие методов, уязвимостей и деталей расследования может помочь атакующим и навредить следствию. Если ваша юрисдикция требует формального уведомления регулятора или пострадавших, эти требования выполняются отдельно от публичных заявлений.
Что делать, если атака вывела из строя сайт, почту и телефоны города?
Используйте заранее подготовленные резервные каналы, не зависящие от атакованной инфраструктуры: печатные объявления у входов в здания, местное радио, городские соцсети с независимым доступом, мобильная горячая линия на другом номере. Обновляйте единую «ленту» с временными метками, чтобы сообщения разных отделов не противоречили друг другу. Если и эти каналы недоступны, задействуйте коллег из соседних муниципалитетов или регионального центра — согласование на этапе подготовки экономит часы в кризисе. Проверяйте работоспособность резервных каналов регулярно, а не в момент инцидента.
Можно ли использовать одно согласованное юристами заявление для всех обновлений?
Можно как основу, но не как единственный текст. Согласованный юристами «держащий» шаблон хорош для первых часов, когда фактов мало, а риски высоки. По мере развития событий жителям нужны конкретика и перемены: восстановленные услуги, новые способы оплаты, продлённые сроки. Полностью повторять одну фразу несколько дней — значит игнорировать реальную потребность людей в ориентирах. Правило простое: каждое заявление должно отвечать на вопрос «что изменилось с прошлого раза», даже если ответ «ничего, работа продолжается». Все тексты проходят через согласованный круг утверждающих, но содержание развивается вместе с ситуацией.
Источники и дополнительные материалы
Источники проверены при подготовке страницы. Изменяемые даты, нормы и цены уточняйте у первоисточника.
- Communicating Under Pressure: Best Practices for Service ProvidersCISA (U.S. Cybersecurity and Infrastructure Security Agency)
- FEMA and CISA Release Joint Guidance on Planning Considerations for Cyber IncidentsCISA / FEMA
- Ransomware attacks pose communications dilemmas for local governmentsCSO Online
- Guidance on Sharing Cyber Incident InformationCISA (U.S. Cybersecurity and Infrastructure Security Agency)
- Kommunale IT-Krisen: Handlungsfähigkeit sichernBSI (Bundesamt für Sicherheit in der Informationstechnik)