¿Qué tienen en común un responsable de seguridad de la información (CISO) que se enfrenta a una filtración de datos y un niño de 10 años que acaba de romper accidentalmente la ventana de su vecino? Cada uno de ellos se enfrenta a una difícil decisión sobre qué comunicar a continuación y cómo hacerlo. Como cada vez más directivos de empresas están descubriendo, no comunicarse con sinceridad y no asumir la responsabilidad de los errores cometidos podría pasarle factura más adelante.
Uber lo sabe muy bien.
Last October the U.S. Department of Justice convicted Joe Sullivan, the company's former chief of security, for lying about a 2016 hack where thieves stole data on approximately 57 million customers. Según el Departamento, Sullivan organizó un pago de 100,000 dólares en bitcoins para que los piratas informáticos guardaran silencio y, posteriormente, ocultó el ataque a las partes interesadas externas y a la nueva dirección de Uber.
Los piratas informáticos se declararon culpables en el caso 2019 y, en el momento de redactar este artículo, Sullivan se encuentra a la espera de que se dicte sentencia, lo que podría suponerle hasta ocho años de prisión.
Comuníquese desde el principio y con frecuencia
Aunque son pocas las empresas que llegan al extremo de encubrir un delito, muchas intentarán eludir las consecuencias. «Es un juego peligroso», afirma Jon Collins, vicepresidente de investigación de la empresa de análisis GigaOm.
«. El encubrimiento también supone un riesgo». Y la forma de mitigar ese riesgo, desde una perspectiva empresarial, es reconocerlo lo antes posible.»Jon Collins, vicepresidente de investigación de GigaOm
«Todo riesgo es un riesgo empresarial», afirma, y añade que los encubrimientos ponen de manifiesto una falta de visión global. «Eso ocurre porque lo están abordando desde una perspectiva de seguridad y no desde una perspectiva de riesgo « », pero el encubrimiento también supone un riesgo». «Y la forma de mitigar ese riesgo, desde una perspectiva empresarial, es reconocerlo lo antes posible».
En ocasiones, una comunicación tardía y poco clara se debe a una falta de preparación. En un evento organizado por « » y «The Wall Street Journal» ( ) a finales de noviembre, Todd McKinnon, cofundador y director ejecutivo de la empresa de autenticación de identidad Okta, expresó su pesar por la gestión que se llevó a cabo ante un incidente de ciberseguridad ocurrido en 2022.
El ataque contra uno de los proveedores de Okta, Sitel, tuvo lugar en enero, pero Okta no reconoció el incidente hasta marzo, después de que el grupo de hackers Lapsus$ ( ) hiciera públicos los detalles en su propia cuenta de Telegram, incluidas capturas de pantalla de los sistemas afectados.
El director de seguridad de Okta, David Bradbury (sin relación alguna con este periodista), respondió afirmando que los clientes no tenían que tomar ninguna medida correctiva. Sin embargo, Lapsus$ siguió burlándose de la empresa en Internet al advertir de que sus clientes eran el objetivo, y estos expresaron públicamente su frustración por la falta de claridad (o, en algunos casos, por la ausencia total de comunicación directa por parte de Okta).
A continuación, Okta reveló que 366 clientes podrían haberse visto afectados por el ataque, y Bradbury señaló a Sitel como responsable. «Me ha decepcionado enormemente el largo periodo de tiempo que ha transcurrido entre nuestra notificación inicial a Sitel en enero y la publicación del informe completo de la investigación hace apenas unas horas», afirmó, según se informa, , aunque más tarde también admitió que la empresa debería haber actuado con mayor rapidez a la hora de comunicar la información tras recibir dicho informe.
«Es difícil ser franco sobre las cosas, sobre todo cuando no se dispone de toda la información», afirma Jenai Marinkovic, vCISO de Tiro Security y miembro del Grupo de Trabajo sobre Tendencias Emergentes de ISACA. No obstante, eso no debería impedir que las empresas evalúen qué información es lo suficientemente fiable como para compartirla y que actúen con transparencia al respecto, aunque tengan que completar los datos que faltan más adelante, a medida que avance su investigación. «Simplemente explique lo que sabe hasta el momento y comunique lo que va a hacer a continuación», aconseja. «El mundo suele ser bastante indulgente si se es sincero, por lo que es fundamental transmitir el mensaje adecuado lo antes posible»,
Una comunicación sólida se basa en una evaluación de riesgos sólida
Pero una vez que se ha tomado la decisión de comunicar un incidente de ciberseguridad, en lugar de ignorarlo o ocultarlo, ¿cómo se lleva a cabo esa comunicación? «Empiece por realizar una evaluación de riesgos exhaustiva », afirma Marinkovic.
«. Su evaluación de riesgos debería haber identificado los tipos de infracciones más probables, los agentes de amenaza y los procesos a los que afectan, junto con todas las personas afectadas en las fases posteriores.»Jenai Marinkovic, vCISO, Tiro Security
La comunicación es una parte intrínseca de un manual más amplio de respuesta ante incidentes cibernéticos que debe adaptarse para hacer frente a las diferentes amenazas. Es posible que su reacción y su forma de comunicarse sean diferentes ante un ataque DDoS o un ataque de ransomware del tipo « » que ante una situación de robo de información que suponga un riesgo financiero para los clientes.
«Su evaluación de riesgos debería haber identificado los tipos de infracciones más probables, los agentes maliciosos y los procesos a los que afecta, junto con todas las personas afectadas en las fases posteriores», afirma. «Por lo tanto, si lleva a cabo una evaluación de riesgos de forma adecuada, los resultados de dicha evaluación deberían incorporarse a su plan de comunicación».
A partir de ahí, deberá comunicar únicamente información veraz. Esto implica encontrar un delicado equilibrio entre comunicarse con antelación —para dar la impresión de que se tiene la situación bajo control— y, al mismo tiempo, asegurarse de que se dispone de datos contrastados, afirma Paul Watts, analista destacado del Information Security Forum.
«Eso puede suponer un problema en ocasiones si uno cree que debe lanzar ese ataque preventivo y, a continuación, se da cuenta de que las circunstancias del incidente son mejores o peores, lo que implica que debe replantearse su estrategia», afirma.
Nada merma la confianza más rápidamente durante una filtración de datos que la información contradictoria. La empresa británica de telecomunicaciones TalkTalk fue objeto de críticas tras publicar declaraciones aparentemente contradictorias sobre el robo de datos de clientes en 2015, lo que dejó perplejos tanto a la policía británica como a los clientes.
Una comunicación constante implica mantener un diálogo estrecho y frecuente con los ingenieros y el personal de TI. Le ayudarán a distinguir los hechos contrastados de las teorías en desarrollo, de modo que pueda comunicar únicamente aquello de lo que esté seguro.
Superar la barrera lingüística
«Hablar con los ingenieros es un buen ejemplo de un caso en el que un enfoque multidisciplinar resulta fundamental», afirma Marinkovic. Traducir la jerga técnica de a un lenguaje comprensible para los clientes puede resultar complicado para los profesionales de la comunicación interna que no cuenten con formación técnica. Se requiere un interrogatorio persistente y incisivo para recabar datos relevantes que puedan transmitirse a las autoridades reguladoras y a las partes interesadas afectadas.
«Su equipo de GRC [gobernanza,, riesgo y cumplimiento normativo de ] conoce bien los controles y suele tener más experiencia a la hora de adaptar la tecnología a las necesidades de la empresa», afirma. Deberían estar presentes en la sala cuando se elaboren estrategias de comunicación externa.
Esté atento a las fugas
«Es fundamental garantizar que exista un único canal de comunicación externo», afirma Watts, quien advierte a las organizaciones de que deben tener cuidado con las filtraciones internas. Es fundamental que forme a los empleados sobre lo que pueden y no pueden decir durante un incidente. «De lo contrario, se crean oportunidades para que se produzcan errores y revelaciones accidentales, lo que a su vez puede ir en contra de la estrategia de comunicación formal que usted pueda tener», advierte.
La comunicación inadecuada no se limita únicamente a las conversaciones con los periodistas. Si el atacante de una empresa tiene una cuenta de Twitter, puede resultar tentador para los empleados que sientan curiosidad seguirlo desde su cuenta personal. Incluso eso puede aumentar la superficie de ataque de la organización y plantear problemas al equipo de seguridad interno, afirma Marinkovic.
Las víctimas de una filtración de datos suelen recurrir a expertos forenses externos para que les ayuden a localizar y solucionar el problema. Según los expertos, contar con profesionales de la comunicación versados en situaciones de crisis cibernéticas puede resultar igual de valioso.
«Contratar a la agencia de relaciones públicas adecuada le ayuda a transmitir ese mensaje de forma auténtica», afirma Marinkovic. Nadie quiere oír lo importantes que son sus datos para usted después de que un ladrón los haya difundido por toda la dark web. En cambio, una explicación clara y objetiva de lo que ha ocurrido y de las medidas que está tomando para solucionarlo es la mejor forma de avanzar; además, un poco de humildad sincera no vendría mal.
