Cómo comunicar un incidente de ciberseguridad

Cuando una organización sufre un incidente de ciberseguridad, se enfrenta con el desafío de diseñar un proceso comunicacional dirigido a usuarios (y a sus propios directivos y accionistas) que eventualmente será objeto de escrutinio por parte de las autoridades administrativas y judiciales. Esta estrategia comunicacional, diseñada en las peores horas de la empresa, con sistemas caídos e información imperfecta, será leída durante años como la prueba más elocuente del comportamiento de la organización frente a su propia vulnerabilidad. Simultáneamente, el acto complejo de comunicación desempeña una segunda función, cual es el de comenzar la tarea de reparación hacia los usuarios afectados. Es de los pocos artefactos que le toman la temperatura de modo real y eficiente al Programa de Compliance de la compañía, y por ello sería ingenuo leerlo de forma reduccionista como una mera pieza de relaciones públicas.
Caminemos por algunas pautas insoslayables, un piso de mínima que debería verificarse en una comunicación de este tipo. La primera exigencia es la oportunidad; ya sabemos que las amenazas han evolucionado en sus niveles de sofisticación y ninguna organización puede prometer invulnerabilidad, pero sí se debería ofrecer una reacción a tiempo. El derecho comparado ha traducido la exigencia en plazos de la mano del Reglamento General de Protección de Datos europeo, que obliga a notificar a la autoridad dentro de las 72 horas (art. 33) y a los afectados sin dilación indebida cuando exista un alto riesgo para sus derechos (art. 34). La Directiva NIS2 escalona el deber entre una alerta temprana a las 24 horas y un informe final al mes. En suelo estadounidense, desde diciembre de 2023, la SEC exige a las compañías cotizantes informar un incidente material dentro de los cuatro días hábiles de determinada su materialidad, además de las leyes de notificación de los cincuenta estados. En Argentina, la Ley 25.326 impone en su artículo 9 el deber de seguridad, pero no contiene una obligación expresa de notificar; a su turno, la Resolución 47/2018 de la AAIP se limita a recomendarlo, y los proyectos de reforma replicaron el plazo europeo de 72 horas. El sector financiero, como de costumbre, habita un estándar más severo, pues la Comunicación “A” 8280 del BCRA, de 2025, exige reportar el ciberincidente dentro de la primera hora de ocurrido o detectado.
Eso dicho, el silencio de la ley no habilita el silencio de la organización. Bajo el artículo 1710 del Código Civil y Comercial, se impone el deber de adoptar las medidas razonables para evitar que se produzca un daño o disminuir su magnitud, y el artículo 4 de la Ley 24.240 obliga al proveedor a informar al consumidor en forma cierta y detallada. Y es que el cliente que ignora que sus datos personales circulan en un foro delictivo queda inerme frente al estafador que lo llamará al día siguiente. Ergo, la demora en avisar agrava el daño, y ese agravamiento encuentra un responsable.
Resonantes leading cases resultan elocuentes al tiempo de probar que el ocultamiento puede resultar incluso más costoso que el propio incidente. En 2016, Uber sufrió el robo de datos de 57 millones de usuarios y conductores, pagó cien mil dólares a los atacantes bajo la apariencia de una recompensa por vulnerabilidades y calló durante un año. Como resultado, su jefe de seguridad fue condenado penalmente por obstrucción y encubrimiento. En nuestro país, en octubre de 2021, el RENAPER negó haber sufrido una filtración mientras circulaban en redes sociales los DNI de figuras públicas, el de Lionel Messi entre ellos, y debió admitir luego que las consultas se habían realizado con credenciales de un usuario autorizado de otro organismo. La negación prematura consume la credibilidad.
Interesantemente, el caso Uber ofrece puede funcionar también como ejemplo del modelo opuesto. Cuando el nuevo CEO reveló el hecho en noviembre de 2017, escribió que nada de aquello debió haber ocurrido y que no iba a buscar excusas. Y con ello traemos otro elemento clave: la comunicación debe ser encabezada por el líder de la organización, sea el CEO, el presidente de la entidad o la máxima autoridad del organismo, ya que su firma ubica el incidente en el plano del gobierno corporativo, del tope de la organización, que es exactamente donde corresponde.
El contenido de la comunicación admite un orden lógico. En primer lugar, una explicación accesible sobre qué sucedió y cuándo, así como de las medidas que se adoptaron de inmediato: la contención, la contratación de peritos forenses, la denuncia penal, la notificación a la autoridad de control o al equipo de respuesta que corresponda. Acto seguido, se debe especificar qué hallazgos arrojó la investigación, con especial precisión sobre los datos personales de la audiencia: qué datos se vieron comprometidos y si entre ellos se cuentan datos sensibles. Acierta el artículo 34 del RGPD cuando exige describir la naturaleza de la violación, sus consecuencias probables y las medidas adoptadas en un lenguaje claro y sencillo. Tal precisión acota el pánico y delimita la eventual responsabilidad.
Avanzamos hacia un elemento importante y tan descuidado en nuestras comunicaciones organizacionales: el pedido de disculpas. Asumir la responsabilidad frente al afectado por el daño sufrido difiere de admitir culpa en la causa del incidente. Junto a la disculpa, la organización debe poder afirmar que el ataque ocurrió a pesar de sus medidas de prevención y no por su ausencia. El deber de seguridad del artículo 9 es de medios, y el comunicado es la primera oportunidad para mostrar que esos medios existían.
El tramo más práctico del comunicado, y quizás el más decisivo, es la indicación al usuario de aquello que debe hacer y lo que debe evitar de ahora en más. El incidente suele tener una segunda ola, cuando los delincuentes usan los datos robados para fabricar correos y llamados verosímiles. Entonces, la empresa debe aclarar que no va a llamar para pedir claves, debe sugerir a los usuarios que modifiquen su contraseña, que verifiquen los enlaces antes de abrirlos, o confirmar con quién se habla. Y estas instrucciones deben repetirse aunque figuren en la política de privacidad, porque nadie la relee en medio de una crisis, y jurídicamente operan como medidas de mitigación del daño.
Deben completar el mensaje enlaces claros a guías y fuentes de información útil, alojadas en el dominio oficial, un canal de contacto concreto para dudas y reclamos, y el compromiso de reforzar la protección y de mantener actualizada a la audiencia.
A fin de cuentas, quienes trabajamos en ciberseguridad solemos llegar cuando ya ocurrió lo peor, convocados para reparar lo que pudo prevenirse. Las organizaciones que definen de antemano qué se dice, por qué canales y en qué plazos llegan al incidente con la prueba de su diligencia ya construida. Igualmente importante es exigir por contrato a los proveedores tecnológicos que informen sin demora cualquier incidente que afecte datos de la empresa, ya que muchas filtraciones ingresan a través de terceros. Someter estos procedimientos a simulacros periódicos es el único modo de acreditar su eficacia antes de que un incidente real la exija.

(*) Pablo Antonio Salas, Abogado LLM (Master of Laws). Socio en PS Law| Legal & Compliance.