Mi empresa sufrió una brecha y debo notificar a la SIC

¿Tienes razón?

Tres preguntas definen si debe notificar a la SIC. Primero, ¿qué tipo de datos se vieron afectados? Datos sensibles o aquellos que permiten suplantación de identidad suelen requerir mayor atención. Segundo, ¿cuál es el alcance del incidente? El número de titulares y la naturaleza del acceso (exposición pública, acceso no autorizado, corrupción de bases) influyen en la evaluación. Tercero, ¿qué medidas de mitigación adoptó la empresa de inmediato? Contención, bloqueo de accesos y medidas técnicas de recuperación reducen el riesgo y la obligación de notificación, o al menos condicionan la forma de comunicar el incidente.

No toda incidencia obliga a notificar a la SIC, pero la decisión se toma tras un análisis de riesgo. Un error común es subestimar el incidente porque no se conocen todos los efectos: documente desde el inicio y actúe como si la notificación fuera necesaria hasta que el análisis técnico diga lo contrario.

Cómo se soluciona

1. Contención inmediata. Aísle sistemas comprometidos, cambie credenciales, cierre vectores de acceso y preserve logs y copia forense de los sistemas implicados. No borre registros; conserve evidencia para análisis técnico y, si procede, peritaje.

1. Reunir el equipo de respuesta. Involucre a TI, seguridad, legales y comunicación. Identifique qué datos se comprometieron, cuántas personas están afectadas y qué riesgos concretos enfrentan los titulares (suplantación, fraude, exposición de salud, etc.).

1. Evaluación de riesgo y determinación de la obligación de notificar. El análisis técnico debe establecer el alcance y la probabilidad de daño. Documente los criterios usados para decidir notificar a la Superintendencia y a los titulares.

1. Notificación a la SIC y a los titulares si procede. Prepare un informe claro que incluya descripción del incidente, datos comprometidos, medidas correctivas adoptadas, recomendaciones para los titulares y los canales de contacto. Use el canal oficial de la SIC y guarde comprobantes de envío. Para los titulares, comunique en lenguaje claro y ofrezca pasos concretos que puedan seguir para mitigar riesgos (cambiar contraseñas, vigilancia de cuentas, bloquear tarjetas si aplica).

1. Remediación y lecciones aprendidas. Implante medidas técnicas y organizativas para evitar recurrencias: parches, capacitación, protocolos de respuesta y revisiones de contratos con terceros proveedores. Registre las acciones y actualice sus políticas de seguridad y tratamiento de datos.

Qué puede hacer su empresa sola: contención inmediata, recolección de logs y comunicaciones iniciales. Cuándo necesita asesoría: para el análisis de riesgo, la notificación formal a la SIC, la preparación de comunicados a titulares y para enfrentar una investigación administrativa.

Qué puede pasar

1) Resolución sin sanción con medidas correctivas. Si la SIC entiende que la empresa actuó diligentemente, puede requerir medidas de mejora y seguimiento. Muchas investigaciones concluyen con obligaciones de implementar controles adicionales.

2) Actuación sancionatoria o acuerdos administrativos. Si hay negligencia manifiesta en la protección de datos, la SIC puede iniciar un proceso sancionatorio que derive en multas y obligaciones adicionales. Alcanzar un acuerdo o demostrar medidas correctivas robustas puede reducir el impacto.

3) Litigio civil por daños. Titulares afectados pueden presentar reclamaciones por daños y perjuicios. Si la empresa pierde, la ejecución de decisiones depende de su solvencia y activos. Incluso con sentencia favorable, cobrar de un responsable insolvente es complejo.

Si gana, ¿cobro? En la vía administrativa la SIC puede ordenar medidas; en la vía civil una sentencia favorable es condición para intentar el cobro, pero la ejecución depende de los bienes y mecanismos disponibles.

Errores que arruinan el caso

• No conservar registros forenses: borrar logs o no preservar imágenes forenses dificulta demostrar la contención y el alcance.
• Minimizar el incidente sin evaluación técnica: ocultarlo a la SIC o a los titulares puede agravar la sanción.
• Comunicados vagos o alarmistas dirigidos a titulares. Deben ser precisos, prácticos y con pasos claros de mitigación.
• No revisar contratos con terceros. Muchas brechas provienen de proveedores; un contrato débil impide exigir responsabilidades.
• No actualizar políticas ni capacitación tras el incidente, lo que incrementa el riesgo de reincidencia.