Cómo gestionar un incidente de ciberseguridad y notificar a los afectados

¿Tienes razón?

Su obligación de actuar surge de dos cosas: la existencia de un incidente que compromete la confidencialidad, integridad o disponibilidad de datos, y el riesgo que ese incidente representa para las personas afectadas. Si la información comprometida es sensible (por ejemplo, datos financieros, de salud o identificadores), la obligación de notificar es más clara. Además, si el incidente puede generar efectos adversos para derechos fundamentales (fraude, suplantación, daño reputacional), debe tomar medidas. En Colombia, la normativa sobre protección de datos y las buenas prácticas corporativas imponen la obligación de investigar, contener y, cuando procede, notificar a las personas afectadas y a la autoridad competente.

La fuerza de su posición depende de la prueba que conserve: registros de acceso, logs de sistemas, información de la investigación forense y comunicaciones internas. Si no hay documentación técnica, será muy difícil demostrar lo ocurrido y explicar el alcance del daño.

Cómo se soluciona

1. Active el plan de respuesta. Si su empresa tiene un plan de respuesta a incidentes, actívelo. Si no lo tiene, siga un orden práctico: contención, preservación de evidencia, análisis y comunicación.

1. Contención inmediata. Aísle sistemas afectados para evitar propagación. Cambie credenciales comprometidas, bloquee accesos sospechosos y preserve imágenes forenses de servidores y logs. No borre ni sobrescriba información que pueda ser evidencia.

1. Reunir evidencia técnica. Registre logs, capturas de pantalla, y exporte registros de acceso. Documente cronología: cuándo detectó el incidente, qué sistemas afectó y qué acciones técnicas tomó. Si es posible, haga una copia forense que permita análisis posteriores.

1. Analizar el alcance. Determine qué datos fueron accedidos, extraídos o alterados. Clasifique los datos por sensibilidad para decidir el nivel de notificación y las medidas de mitigación.

1. Notifique a la autoridad competente cuando proceda. Según la naturaleza del incidente y la normativa aplicable, puede corresponder un reporte a la autoridad de protección de datos o a entidades sectoriales. Prepare un informe con los hechos, medidas tomadas y plan de mitigación.

1. Comunicar a los afectados de forma proporcional. Explique qué pasó, qué datos estuvieron en riesgo, qué medidas inmediatas deben tomar (por ejemplo, cambiar contraseñas) y qué está haciendo la empresa para protegerlos. No difunda conjeturas: comunique hechos verificados.

1. Ofrezca medidas de mitigación. Dependiendo del riesgo, ofrezca monitoreo de fraude, asesoría en protección de identidad o facilidades para cambiar credenciales. Documente estas ofertas y su alcance.

1. Revise y mejore controles. Tras la respuesta, haga una lección aprendida: actualice políticas, fortalezca controles técnicos y organice formación para evitar reincidencias.

Qué puede hacer sin abogado: contener, recopilar logs, notificar a afectados y presentar reportes técnicos. Cuándo buscar abogado: si hay datos sensibles comprometidos, riesgo de demandas colectivas, intervención regulatoria o necesidad de coordinar respuesta pública y legal; un abogado ayuda a gestionar comunicaciones para minimizar riesgos legales y a articular el reporte a la autoridad.

Qué puede pasar

1) Se arregla con medidas internas y comunicación. Muchas veces la respuesta técnica y la comunicación adecuada contienen el daño y evitan consecuencias mayores. Si el incidente se maneja bien, la confianza puede recuperarse.

2) Acuerdo o medidas administrativas. Puede haber acuerdos con afectados o medidas impuestas por la autoridad de protección de datos, que exijan ajustes y sanciones administrativas en casos de negligencia grave.

3) Litigio o sanción regulatoria. Si hubo incumplimiento normativo grave, puede iniciarse investigación administrativa o demandas por daños. Si pierde un proceso, su empresa podría enfrentar multas y obligaciones de reparación; si gana, la decisión puede requerir evidencias robustas.

Y si gana, ¿cobro? En incidentes masivos, incluso con sentencia favorable, la reparación económica depende de la atribución del daño y de la solvencia de la parte responsable. Por eso, prevenir y documentar es la mejor defensa.

Errores que arruinan el caso

• Borrar logs o sobrescribir evidencia para "limpiar" sistemas: destruye la prueba técnica.
• Comunicar conjeturas o información errónea a los afectados: genera desconfianza y riesgos legales.
• No clasificar correctamente los datos comprometidos y notificar de forma inadecuada.
• No coordinar la respuesta técnica con la legal y de comunicaciones; cada área necesita la misma información.
• No ofrecer medidas prácticas de mitigación cuando el riesgo es real.