¿Cómo comunicas durante un incidente de seguridad?

Respuesta directa

Qué debe cubrir una buena respuesta

Cómo funciona

Durante un incidente de seguridad, la comunicación es un control: evita que los responders sean arrastrados en diez direcciones, impide que la dirección decida sobre rumores y protege legalmente a la organización. Un líder de incidente es dueño del mensaje. Los canales se verifican y son alternativos si los principales pueden estar comprometidos. Cada actualización separa lo confirmado de lo sospechado y da la hora de la siguiente. Los responders reciben detalle técnico; la dirección recibe impacto, decisiones necesarias y plazos; legal y privacidad reciben los hechos para decidir notificaciones; los clientes reciben declaraciones precisas y claras aprobadas por legal sin especulación ni detalles sensibles. Las decisiones y su momento se registran a medida que ocurren.

Ejemplo

Cuando se sospechó una filtración de credenciales, el líder del incidente fijó una cadencia de 30 minutos en un canal dedicado, con un primer mensaje con tres hechos confirmados, dos preguntas abiertas y la hora de la siguiente actualización. La dirección recibió un resumen de un párrafo con la decisión requerida sobre notificar a clientes; legal recibió los logs de acceso; la declaración a clientes salió doce horas después, tras confirmar el alcance, diciendo qué pasó, qué se hizo y qué debían hacer los clientes.

Errores frecuentes

• Especular sobre causa o alcance en una actualización escrita que luego resulta errónea.
• Dejar que varias personas envíen mensajes contradictorios a los clientes.
• Compartir indicadores y detalles del exploit en un canal amplio donde pueden filtrarse.

Una estructura útil para responder

Responde desde tu propia experiencia.

No memorices un guion: usa solo ejemplos que puedas explicar con honestidad en preguntas posteriores.