En una vulneración de datos, muchas decisiones urgentes pueden destruir evidencia mientras todos creen estar ayudando. Alguien quiere restaurar, otra persona quiere avisar al cliente, otra quiere revisar el servidor y otra quiere publicar una explicación.
Si nadie sabe quién preserva, quién decide y quién comunica, la empresa puede terminar con una crisis técnica, una crisis jurídica y una crisis de credibilidad al mismo tiempo.
La primera asignación no es “que alguien haga algo”. Es definir funciones antes de que ocurra el incidente.
Quién preserva
La preservación protege la evidencia antes de que cambie. Incluye identificar equipos, discos, registros, correos, reglas de buzón, accesos remotos, respaldos y servicios en la nube. También incluye documentar quién apagó, desconectó o cambió cada componente.
La persona o el equipo que preserva no necesita decidir la estrategia legal ni redactar el comunicado. Necesita saber qué fuentes existen, cuánto duran y cómo conservarlas sin alterarlas.
Una restauración puede ser necesaria para continuidad, pero debe quedar registrada como acción posterior. No se presenta como si el sistema siempre hubiera estado así. La cronología permite distinguir ataque, contención y reparación.
Quién decide
La decisión necesita una autoridad clara y una evaluación de riesgo. Contener no siempre significa apagar todo, y notificar no siempre significa publicar inmediatamente. Cada medida debe responder a hechos conocidos y a las obligaciones aplicables.
Dirección decide continuidad y recursos. Jurídico valora obligaciones, contratos, privacidad y comunicación. El responsable de privacidad ayuda a interpretar datos, titulares, alcance y deberes. El equipo técnico explica qué puede ocurrir si se apaga, se bloquea o se restaura.
Una sola persona puede acumular funciones en una empresa pequeña, pero eso no elimina la necesidad de revisión. La decisión debe dejar constancia de qué se sabía, qué no se sabía y por qué se eligió esa acción.
Quién comunica
La comunicación interna y externa debe ser precisa. Decir “todo está bajo control” sin evidencia puede ser más dañino que reconocer una investigación en curso. Decir “hubo robo” sin probar exfiltración puede crear una afirmación que después haya que retirar.
El comunicado interno debe indicar qué puede hacer el personal: desconectar o no, abrir correos o no, usar respaldos o no, contactar clientes por qué canal y documentar cómo. La urgencia no justifica instrucciones contradictorias.
La comunicación externa depende de los hechos, los titulares y las obligaciones. Se distingue incidente, acceso no autorizado, disponibilidad afectada, exfiltración demostrada y alcance todavía desconocido. No se rellena con certeza lo que todavía se investiga.
Un caso de roles invertidos
En un incidente de correo corporativo, el impostor creó reglas que ocultaban mensajes de pago. Si la empresa hubiera borrado primero las reglas para “normalizar” el buzón, habría perdido una de las piezas más claras del mecanismo. La contención necesitaba conservarlas antes de corregirlas.
Al mismo tiempo, clientes y banco necesitaban identificadores pronto para evitar nuevas salidas. La preservación no detuvo la operación: se hizo mientras el equipo avisaba por canales independientes. La función técnica y la función de comunicación eran distintas, pero compatibles.
Ese es el punto: no hay que elegir entre detener el daño y preservar evidencia cuando se asignan bien las funciones. La secuencia correcta permite hacer ambas sin que una destruya la otra.
Qué debe existir antes del incidente
Un directorio mínimo identifica responsable técnico, responsable de decisiones, responsable jurídico, responsable de privacidad, portavoz y suplentes. No depende de que una persona conteste el teléfono a las tres de la mañana.
Un protocolo describe qué se preserva primero, quién autoriza la contención, quién habla con proveedores, quién controla el registro y quién revisa el comunicado. También establece cómo se protege información de terceros y qué canales no deben usarse para compartir evidencia.
El protocolo se ensaya. Una simulación breve puede mostrar que el director no sabe quién restaura, que Sistemas no sabe quién avisa a clientes o que Jurídico recibe la información demasiado tarde. Corregir eso antes de la crisis es más barato que improvisarla.
Cómo se coordina sin frenar la respuesta
La preservación puede avanzar mientras se contiene y mientras se prepara la comunicación. No hay que esperar un informe completo para avisar al banco, al proveedor o al asegurador cuando los identificadores pueden proteger operaciones.
Tampoco hay que publicar una conclusión prematura. La empresa puede decir que investiga un incidente y qué medidas está tomando sin afirmar todavía robo o causa. La honestidad preliminar evita futuras contradicciones.
El director no necesita convertirse en perito. Necesita saber quién tiene la evidencia, qué significa y qué decisiones puede tomar con seguridad y cuáles deben esperar revisión.