¿Cuándo deben publicar las empresas? — Prácticas y pautas sobre la divulgación de daños cibernéticos

Según el análisis de MBSD sobre la práctica de divulgación de empresas nacionales (aproximadamente 500 casos, alrededor de 800 comunicados si se incluyen las actualizaciones), aunque en muchos casos el primer comunicado se emite relativamente pronto, se observa que conforme avanza la investigación las actualizaciones concretan el alcance y los efectos del daño. En el recuento de MBSD se indica que «desde la ocurrencia o el descubrimiento hasta el primer comunicado, 5 días o menos representan aproximadamente la mitad, y 30 días o menos alrededor del 80%», con una mediana de 5.6 días y una media de 27.1 días (fuente indicada). No obstante, cabe advertir que la media está alterada por algunos casos de larga duración.

El artículo organiza primero que «divulgación pública», «notificación a clientes», «informes administrativos» y «compartición con policía u organismos especializados» tienen distintos propósitos y destinatarios. Dado que el uso de «informe preliminar/informe definitivo» para notificaciones a la Comisión de Protección de la Información Personal y el par «primer comunicado/actualizaciones» de las empresas no coinciden en su categorización entre respuesta normativa y comunicación pública, no se debe tomar el plazo legal de reporte como referencia directa para la divulgación pública.

También hay tendencias en el número y el contenido de las publicaciones: según las observaciones de MBSD, en torno al 60% de los casos la divulgación termina con un único comunicado y cerca del 90% con tres comunicados o menos. El primer comunicado suele centrarse en explicaciones de la situación como «acceso no autorizado», «restauración» o «investigación en curso», mientras que en las actualizaciones se concretan efectos como «filtración/información personal» o «cifrado».

Es importante que, aun cuando el primer comunicado indique «investigación en curso», se proporcione a clientes y a las contrapartes la información necesaria para que puedan decidir qué acciones tomar, incluyendo las medidas recomendadas y los puntos de contacto para consultas.

El artículo explica además por qué no todo debe hacerse público de inmediato. Compartir detalles técnicos de forma no pública con organizaciones especializadas puede ayudar a prevenir daños en otras empresas, mientras que la divulgación de pormenores al público podría dificultar la contención y la investigación; por ello es necesario diferenciar qué se publica y con quién se comparte información.

Finalmente, como preparación práctica para tomar decisiones rápidas y acertadas al divulgar, se recomienda en tiempos de normalidad designar a «personas que recopilen hechos», «ventanilla para consultas externas», «responsables de decidir sobre la divulgación», «encargados de comunicar al destinatario» y «encargados de gestionar las actualizaciones».