Manejo de incidentes de seguridad y fuga de datos personales

Qué cuenta como incidente

La definición es más amplia de lo que suele pensarse y no depende de que haya intención ni de que haya un atacante. Cualquier acceso, pérdida, alteración o divulgación no autorizada de datos personales entra en el análisis.

• Intrusión en sistemas, secuestro de información o robo de credenciales.
• Correo enviado con los destinatarios visibles o dirigido a la persona equivocada.
• Carpeta, enlace o archivo compartido con permisos abiertos por error.
• Pérdida o robo de un computador, un teléfono o un archivo físico.
• Empleado o extrabajador que extrae bases de clientes o de nómina.
• Brecha en un proveedor que trata datos por cuenta de la empresa.
• Publicación indebida de información en la página web o en una plataforma.

Las primeras horas

1. Contener. Cerrar el acceso, revocar permisos, aislar el sistema comprometido y detener lo que siga en curso.
2. Preservar. Registrar evidencia técnica antes de que se pierda, porque después habrá que explicar qué pasó y cuándo.
3. Delimitar. Qué datos se vieron afectados, de cuántas personas, de qué categorías y si hay datos sensibles o de menores.
4. Calificar. Determinar si el hecho constituye un incidente reportable y con qué alcance.
5. Decidir. Reporte a la autoridad, comunicación a los titulares afectados y mensajes internos y externos, en ese orden y con textos escritos.
6. Documentar. Dejar constancia de cada decisión y de su justificación, que es lo que después sostiene la posición de la empresa.

Trabajamos junto al equipo técnico, no encima de él: ellos resuelven la causa, nosotros definimos qué obligaciones se activaron, qué se dice, a quién y en qué momento.

Reporte a la autoridad y aviso a los titulares

El reporte a la Superintendencia de Industria y Comercio se hace por el canal previsto para ello y su contenido importa: un reporte incompleto o contradictorio suele abrir más preguntas de las que cierra. La comunicación a las personas afectadas es una decisión distinta, con otro destinatario y otro tono. Redactamos ambos textos y los revisamos contra lo que la empresa ya dijo internamente, porque las versiones que no coinciden son el problema más frecuente.

Cuando el incidente ocurrió en un proveedor, además hay que activar el contrato: qué debía avisar, en cuánto tiempo, qué información debe entregar y quién responde frente a los titulares.

El trabajo previo es más barato

• Protocolo escrito de respuesta, con roles asignados por nombre y no por cargo genérico.
• Árbol de decisión para calificar el incidente y para saber quién autoriza cada paso.
• Textos base de reporte y de comunicación, redactados en frío y no a las dos de la mañana.
• Cláusulas de aviso de incidentes en los contratos con proveedores y encargados.
• Un simulacro corto con el equipo que tendría que ejecutarlo, con un caso realista del negocio.

Qué recibe el cliente

• Acompañamiento durante el incidente, desde la primera llamada hasta el cierre del caso.
• La calificación jurídica del hecho y la decisión motivada sobre reporte y comunicación.
• Los textos radicados ante la autoridad y los enviados a los titulares afectados.
• El expediente del incidente: cronología, decisiones, evidencia y responsables.
• El plan de correcciones posterior, que es lo primero que la autoridad pregunta si vuelve a mirar el caso.

Situaciones típicas que atendemos

• Una empresa que envió una comunicación masiva con las direcciones de correo de todos sus clientes a la vista.
• Un negocio que sufrió un secuestro de información y no sabe si debe reportar y a quién avisar.
• Una compañía cuyo proveedor de nube o de nómina sufrió una brecha que afecta a sus empleados.
• Un empleador que descubre que un extrabajador descargó la base de clientes antes de renunciar.