Cómo gestionar un incidente de ciberseguridad y notificar a los afectados

¿Tienes razón?

Que debas notificar depende de tres factores esenciales. Primero: si hubo acceso, pérdida o divulgación de datos personales. Si no hubo exposición de datos personales, la obligación de notificar puede no existir, aunque tengás que reportar internamente. Segundo: la naturaleza y sensibilidad de los datos. Exposición de datos sensibles (salud, ideología, datos biométricos) genera mayor riesgo para los titulares y normalmente obliga a medidas adicionales. Tercero: el riesgo real para los derechos y libertades de las personas. Si la fuga puede causar fraude, daño reputacional o discriminación, la obligación de notificar es más probable. Además, fijate en obligaciones contractuales: muchos contratos con clientes o plataformas exigen notificación aun cuando la ley no lo requiera.

Documentá desde el principio: qué sistemas estuvieron afectados, qué borde de la red, copias de logs, identidad de los ficheros accedidos, volúmenes y tipos de datos. Esa evidencia es clave para evaluar la necesidad de notificar autoridades, clientes o usuarios.

Cómo se soluciona

1) Activá el plan de respuesta e incidentes. Si no tenés uno, formá un equipo con IT, seguridad, legal y comunicación. Lo primero es contener el incidente: aislar sistemas comprometidos, cortar accesos, preservar logs y crear imágenes forenses.

2) Preservá evidencia forense. No reinicies ni sobrescribas sistemas sin documentarlo. Realizá imágenes bit a bit y guardá copias en lugares separados. Registrá los pasos adoptados con fecha y autor. Esto permite reconstruir la cadena de hechos y es central para la defensa ante autoridades y afectados.

3) Evaluá el alcance y el riesgo. Identificá qué datos fueron accedidos, cuántas personas están afectadas y cuál es el posible daño (fraude, extorsión, daño reputacional). Clasificá el incidente según sensibilidad y urgencia.

4) Tomá medidas de mitigación. Cambiá credenciales, revocá claves comprometidas, parcheá vulnerabilidades y restablecé sistemas desde backups limpios. Informá a proveedores críticos y activá contenciones técnicas adicionales.

5) Prepará la notificación a afectados y, si corresponde, a la autoridad de protección de datos o a clientes. La comunicación debe explicar qué pasó en lenguaje claro, qué datos potencialmente fueron expuestos, qué medidas adoptaste y qué pueden hacer las personas para protegerse (cambios de contraseña, vigilancia de cuentas). Evitá tecnicismos y ofrecé canales de contacto.

6) Comunicá internamente y con stakeholders. Informá al directorio, aseguradora si corresponde, y a clientes principales. Coordiná la comunicación pública para no contradecir la investigación forense.

7) Post-incident: revisá controles, mejorá políticas y hacé pruebas de intrusión y ejercicios de respuesta para evitar recurrencias. Documentá lecciones aprendidas.

Qué podés hacer solo: las medidas inmediatas de contención y la recolección de logs básicos. Necesitás ayuda externa cuando el incidente es complejo (ransomware, brechas masivas), cuando hay exigencias contractuales de notificación, o cuando la autoridad o clientes solicitan explicaciones técnicas o peritajes. Un abogado ayuda a preparar la notificación y gestionar la comunicación con la autoridad y a limitar riesgos legales.

Qué puede pasar

1) Se arregla internamente: muchas brechas se resuelven con restauración desde backups y medidas de mitigación sin necesidad de notificar públicamente. Es la salida más rápida y menos dañina en términos reputacionales.

2) Acuerdo o indemnización negociada: si clientes o usuarios sufren daños, puede proponerse compensación o prestaciones de monitoreo de identidad. Acordar evita litigios largos, aunque puede implicar coste económico.

3) Sanciones y acciones judiciales: si hubo negligencia grave o incumplimiento de la normativa de protección de datos, la autoridad o los afectados pueden iniciar acciones administrativas o judiciales. Si perdés, podés afrontar multas, obligación de indemnizar y daños reputacionales. La posibilidad de reclamar contra aseguradoras o terceros dependerá de las pólizas y de la existencia de cláusulas de exención en contratos.

Y si ganás, ¿cobrás? Si obtenés una sentencia favorable contra un tercero que causó el incidente, cobrar depende de su solvencia y de las coberturas del seguro cibernético.

Errores que arruinan el caso

• Reiniciar o limpiar sistemas sin hacer imágenes forenses: destruye evidencia.
• No documentar las acciones tomadas ni conservar logs.
• No notificar a clientes o autoridades cuando la exposición lo requiere.
• Contestar públicamente con información técnica confusa que genere pánico.
• No coordinar con asesoría legal antes de mandar comunicaciones que reconozcan culpa.