Si has sufrido una brecha de datos en tu empresa y no sabes qué hacer

¿Tienes razón?

No es cuestión de tener razón sino de gestionar correctamente. Tres factores determinan la gravedad: 1) tipo de datos comprometidos —datos sensibles o financieros elevan el riesgo; 2) extensión y evidencia de acceso no autorizado —si hay indicios de exfiltración o publicación en la red el impacto es mayor; 3) la capacidad de la empresa para demostrar que actuó diligentemente (logs, copias de seguridad, parches aplicados, registros de comunicación).

Si la brecha afectó a pocas cuentas internas y fue contenida sin evidencia de acceso externo, la respuesta técnica y una notificación interna suelen bastar. Si hay indicios de suplantación, fraude o publicación en foros, conviene ampliar la respuesta con análisis forense y evaluación legal.

Evita improvisar: la eliminación de evidencias para "ocultar" la brecha es contraproducente. Documenta cada paso desde el descubrimiento: quién, cuándo, qué se hizo y con qué finalidad.

Cómo se soluciona

1. Contención inmediata y bloqueo de vectores.

• Aísla sistemas afectados, cambia credenciales comprometidas, aplica parches y desconecta servicios expuestos si es necesario. Documenta las acciones y quién las ejecutó.

1. Preservación de la evidencia.

• No sobrescribas logs ni respaldes sobre el estado comprometido. Haz copias forenses para análisis y guarda hashes que demuestren integridad.

1. Análisis forense.

• Determina la causa raíz, qué se accedió y qué salió del entorno. Un peritaje técnico es la fuente de prueba frente a la autoridad o afectados.

1. Evaluación del riesgo para los titulares.

• Clasifica los datos y estima el probable perjuicio: suplantación, daño reputacional, riesgo a la seguridad física. Esta evaluación guía la necesidad de notificación.

1. Notificación a titulares y, cuando corresponda, a la autoridad.

• Redacta avisos claros para los afectados explicando alcance y medidas ofrecidas. Si la normativa o la autoridad exige notificación, prepara la documentación requerida.

1. Remediación y mejora de controles.

• Corrige vulnerabilidades, revisa protocolos de acceso, forma al personal y actualiza políticas de seguridad.

1. Informe de cierre.

• Elabora un informe con cronología, pruebas, medidas y lecciones aprendidas. Conserva el expediente.

Qué puedes hacer solo: contener medidas básicas (cambiar credenciales, limitar accesos) y recopilar logs básicos. Cuándo necesitas ayuda profesional: análisis forense, valoración de notificación a la autoridad, redacción de avisos a titulares y gestión de reclamaciones o demandas.

Qué puede pasar

1) Se soluciona internamente y se avisa a afectados con medidas de mitigación: muchas brechas quedan en un incidente gestionado y no derivan en sanción si se demuestra diligencia.

2) Acuerdo con afectados: puedes ofrecer medidas de mitigación (monitorización, asesoría) y arreglos extrajudiciales que eviten litigio.

3) Investigación y sanción administrativa: si la autoridad recibe quejas o detecta incumplimiento grave, puede iniciar procedimientos. La sanción depende de la naturaleza del incumplimiento, de las medidas adoptadas y de la diligencia demostrada. Un proceso puede acabar en multas u órdenes de corrección.

Y si ganas, ¿cobras? La preocupación mayor en una brecha no es cobrar, sino remediar el daño. Si hay demanda por daños, una sentencia favorable puede reconocer reparación, pero la capacidad de cobro depende de la solvencia del responsable.

Errores que arruinan el caso

• Borrar o alterar logs sin copia forense: destruye la prueba.
• No aislar el incidente rápidamente: permite más exfiltración.
• Minimizar el alcance en comunicaciones internas o con la autoridad: reduce la credibilidad.
• Falta de coordinación entre TI y legal: respuestas fragmentadas que confunden a afectados y autoridad.
• Ofrecer compensaciones sin evaluar responsabilidades: puede ser admitido como reconocimiento y complicar la defensa.