Cómo gestionar un incidente de ciberseguridad y notificar a los afectados

¿Tienes razón?

Un incidente de ciberseguridad puede variar desde una fuga de datos hasta un ransomware que paraliza sistemas. Tu posición y obligaciones dependen de cuatro factores: el tipo de datos comprometidos (datos personales sensibles o no), la magnitud del acceso o pérdida, el riesgo real para las personas afectadas (por ejemplo, riesgo de suplantación, daño económico o físico) y las medidas de seguridad que ya tenías implementadas. La normativa de protección de datos establece la obligación de notificar a la autoridad de control y, en ciertos casos, a los afectados, cuando el incidente supone un riesgo para los derechos y libertades de las personas. Independientemente de la obligación formal, documentar todo y actuar siguiendo un plan reduce responsabilidad y facilita la defensa.

Importa también la trazabilidad: registrar tiempos, acciones y decisiones es clave para demostrar diligencia. Si tienes un contrato de encargo con proveedores, revisa las obligaciones contractuales y la cadena de subcontratación para coordinar la respuesta.

Cómo se soluciona

1. Activa el plan de respuesta a incidentes. Si tienes un plan POA (procedimiento operativo), actívalo. Designa responsables, equipos de comunicación y contacto legal. Si no tienes plan, organiza un equipo con TI, legal y comunicación y documenta las decisiones.

1. Contención inmediata y preservación de evidencia. Aísla los sistemas comprometidos para evitar propagación; realiza copias forenses de sistemas y logs y guarda la cadena de custodia. No borres ni alteres los registros que puedan servir en una investigación o procedimiento.

1. Investigación técnica. Determina alcance: qué datos se han visto comprometidos, qué sistemas, si hubo exfiltración y cuáles son los vectores de entrada. Utiliza peritos o proveedores externos si no tienes capacidad interna.

1. Evaluación del riesgo para las personas afectadas. Valora la naturaleza de los datos y las consecuencias previsibles: desde riesgo de spam hasta fraude, suplantación o riesgo físico. Esta evaluación decidirá si hay obligación de notificar a los afectados.

1. Notificación a la autoridad competente. Si la evaluación determina riesgo para los derechos y libertades, prepara una notificación formal a la autoridad de control (AEPD en España) con la información requerida: descripción de la naturaleza del incidente, categorías de datos afectados, medidas adoptadas y contactos. Documenta todo el envío y respuesta.

1. Comunicación a afectados. Si procede, comunica de forma clara y concreta a las personas afectadas qué ha pasado, qué datos se han visto comprometidos, las medidas que deben tomar y qué acciones estás adoptando. Evita alarmismo; incluye contactos y recomendaciones prácticas (por ejemplo, cambiar contraseñas o vigilar movimientos financieros).

1. Remediación y mejoras. Tras contener y notificar, implementa medidas para evitar repetición: parches, cambios de configuración, formación, revisión de accesos, y si procede, oferta de servicios para mitigar daños (como monitorización de fraude). Documenta todas las medidas tomadas.

1. Revisión contractual y seguros. Revisa contratos con proveedores y clientes para entender obligaciones y limitar responsabilidades. Contacta al seguro de ciberriesgo si tienes cobertura. Coordina con abogados para abordar posibles reclamaciones y obligaciones legales.

Qué puedes hacer sin abogado: activar el plan, contener, preservar evidencia e iniciar notificaciones técnicas internas. Qué requiere asesoría: preparar la notificación a la autoridad, la comunicación a afectados con valoración jurídica sobre el alcance de la obligación y gestionar posibles reclamaciones o sanciones.

Qué puede pasar

1) Se resuelve internamente. Muchos incidentes se contienen y sanan con medidas técnicas, sin necesidad de notificar a la autoridad porque el riesgo es bajo. La respuesta rápida y la documentación evitan mayores consecuencias.

2) Acuerdo o medidas correctoras. La autoridad puede requerir medidas correctoras, imponer sanciones administrativas o abrir expediente. En paralelo, pueden surgir demandas civiles de afectados que buscan reparación del daño. En la práctica, acordar medidas de mitigación y ofrecer soluciones a los afectados reduce la probabilidad de litigio.

3) Procedimiento sancionador o demanda. Si la autoridad considera que hubo negligencia o incumplimiento grave de las obligaciones de seguridad, puede abrir un procedimiento que termine en sanción. En vía civil, los afectados pueden reclamar daños y perjuicios: si se consigue una sentencia a tu favor, la posibilidad de ejecución depende de la solvencia de los responsables.

Y si ganas, ¿cobras? En caso de acciones contra terceros responsables del incidente, la recuperación depende de su solvencia y del seguro. Por eso la prevención y las coberturas de seguro son importantes.

Errores que arruinan el caso

• Borrar logs o no preservar evidencia: destruye la posibilidad de investigar y defenderte.
• Demorar la contención por falta de plan: permite que el incidente se agrave.
• Comunicaciones mal redactadas a afectados: el alarmismo o la falta de información aumenta reclamaciones.
• No coordinar con el encargo de tratamiento: olvidar al proveedor de servicios y sus obligaciones complica la respuesta.
• No revisar pólizas de seguro: dejar pasar la oportunidad de activar coberturas por desconocimiento.