Comunicación de crisis y cultura de seguridad

Audiencias y obligaciones

• Empleados: qué pasó, qué hacer y qué no hacer, y dónde preguntar. El silencio alimenta los rumores.
• Clientes y socios: qué se vio afectado, qué deben hacer y cuándo les dará la próxima actualización.
• Reguladores: muchas leyes exigen notificar dentro de un plazo definido después de que usted se entera de ciertas brechas, en especial de datos personales. Conozca los plazos de sus jurisdicciones antes de un incidente.
• Ejecutivos y directorio: impacto, decisiones necesarias y el plan actual.
• Autoridades, aseguradoras y proveedores, según corresponda.
• El público y la prensa, a través de un único vocero designado.

Principios

• Sea honesto y oportuno: diga lo que sabe, lo que aún no sabe y cuándo actualizará. No adivine ni oculte.
• Una fuente de verdad y una sola voz: todas las declaraciones externas las aprueban legal y comunicaciones y son consistentes entre sí.
• No culpe: ni a la astucia del atacante, ni al empleado que hizo clic, ni al proveedor, hasta que los hechos estén establecidos.
• Dé a las personas algo que hacer: pasos concretos (cambiar contraseñas, vigilar fraudes) valen más que un consuelo genérico.
• Actualice según el calendario prometido, incluso cuando la actualización sea que nada ha cambiado.
• Prepárese: plantillas, listas de contactos y derechos de decisión escritos en tiempos de calma y ensayados en ejercicios de mesa (tabletop) con ejecutivos.

Un esqueleto de mensaje

Asunto: Incidente de seguridad que afecta a [servicio]

Qué pasó: El [fecha] detectamos [descripción clara]. Lo [contuvimos en fecha].
Qué información estuvo involucrada: [categorías específicas; indique qué NO se vio afectado, solo si está confirmado].
Qué estamos haciendo: [contención, investigación con expertos externos, mejoras].
Qué puede hacer usted: [pasos concretos].
Qué sigue: le actualizaremos a más tardar el [fecha/hora]. Contacto: [canal y nombre].
Lamentamos la preocupación que esto causa.

La cultura decide la primera hora

• Reporte sin culpa: quien reporta un error rápidamente debe recibir agradecimiento, no castigo. El primer reporte suele ser lo que salva el día.
• Haga que la forma segura sea la forma fácil: herramientas y valores por defecto, no políticas largas que nadie lee.
• Security champions en los equipos de ingeniería y de negocio, que acercan la seguridad al trabajo diario.
• Contenido de concientización breve, relevante y respetuoso, que explique el porqué, con ejemplos reales de su empresa.
• Los líderes dan el ejemplo: los ejecutivos siguen las mismas reglas (MFA, reporte, aprobaciones).
• Mida la cultura: tasas de reporte, tiempo para reportar, participación en ejercicios y encuestas sobre la confianza en el equipo de seguridad.