Preparación jurídica ante fugas de información para proteger la confianza empresarial

Este artículo no promete “no sufrir ningún incidente”, sino que se centra en que las empresas conozcan la información que poseen y los sistemas que utilizan, y que tengan desde tiempo de paz una estructura que permita detectar anomalías pronto, prevenir la ampliación del daño, conservar pruebas, informar dentro de los plazos y mantener explicaciones continuas. Se advierte además que sectores como finanzas, sanidad, telecomunicaciones y empresas cotizadas pueden tener obligaciones de reporte adicionales en virtud de su normativa sectorial.

Dado que las vías de ataque se han diversificado y complicado, el departamento legal no debe limitarse a delegar todo en el departamento de sistemas; es necesario aclarar, tanto mediante contratos como mediante la estructura interna, quién maneja qué información y a quién se subcontrata, y quién toma las decisiones en situaciones anómalas. En la actuación inicial debe clasificarse no solo la información personal, sino también la información especialmente sensible, credenciales, secretos empresariales, el número My Number y otros, y fijar los roles de la propia empresa, del cedente, del proveedor y del proveedor de nube.

Como elementos a preparar en tiempo de paz se enumeran seis: inventario, autorizaciones/credenciales/logs/backup, normas internas y formación, red de contactos y hojas de decisión para la respuesta inicial, contratos y ciberseguro, y ejercicios de mesa con actualizaciones. Justo tras el descubrimiento hay que simultanear la prevención de la ampliación del daño y la conservación de pruebas, comunicar lo comprobado separándolo de lo posible o incierto, y limitar las comunicaciones a las partes estrictamente necesarias.

Los reportes a la Comisión de Protección de la Información Personal, las notificaciones a los afectados y las comunicaciones externas persiguen objetivos distintos, por lo que hay que respetar los tipos de reporte y los plazos (informe preliminar en aproximadamente 3–5 días, informe definitivo por regla general en 30 días, si existe riesgo de uso con fines ilícitos, 60 días). En el primer reporte conviene no hacer afirmaciones demasiado categóricas, dejar claras las cuestiones en investigación, y mostrar un historial de actualizaciones y medidas concretas de prevención de recurrencias, lo que contribuye a mantener la confianza.