Cómo comunicar un breach de ciberseguridad o filtración de datos

Un breach de ciberseguridad o una filtración de datos personales exige un protocolo de comunicación distinto al de una crisis reputacional genérica: además de gestionar la percepción pública, la empresa enfrenta plazos legales de notificación, públicos regulatorios específicos, y un nivel de precisión técnica que un comunicado tradicional rara vez maneja bien. Un mensaje mal calibrado en este tipo de crisis puede generar tanto daño reputacional como el incidente técnico original.

Por qué un breach de ciberseguridad es distinto a otras crisis

A diferencia de una crisis operativa o reputacional convencional, un incidente de ciberseguridad suele involucrar información técnica que el equipo de comunicaciones no domina por sí solo, plazos legales de notificación a las autoridades y a los afectados que varían según la normativa aplicable, y una audiencia que incluye no solo medios y clientes, sino también reguladores, aseguradoras y, en algunos casos, las propias autoridades policiales o judiciales.

Qué debe incluir la comunicación de un breach de ciberseguridad

• —Qué tipo de información fue comprometida, con la mayor precisión posible sin exponer detalles que faciliten un ataque adicional.
• —Cuándo ocurrió el incidente y cuándo la empresa lo detectó, siendo transparente si hubo una brecha temporal entre ambos momentos.
• —Qué medidas inmediatas se tomaron para contener el incidente y proteger a los afectados.
• —Qué deben hacer las personas afectadas para protegerse (cambiar contraseñas, monitorear cuentas, etc.).
• —Un canal de contacto directo para consultas de los afectados, distinto del canal de prensa general.

Errores frecuentes al comunicar un breach de ciberseguridad

Cómo coordinar comunicaciones, legal y ciberseguridad en este tipo de crisis

La comunicación de un breach de ciberseguridad exige un comité conjunto entre comunicaciones, el área legal y el equipo técnico de seguridad de la información, ya que cada mensaje público tiene implicancias legales y técnicas que comunicaciones no puede evaluar por sí sola. El objetivo es que el equipo de comunicaciones traduzca la información técnica y legal en un mensaje claro para el público, sin alterar la precisión de los hechos.

Este tipo de crisis se coordina mejor con un comité de crisis ya definido antes de que ocurra el incidente.

Los principios generales de vocería aplican igual, como explicamos en nuestra guía sobre vocería en crisis.

Preguntas frecuentes

¿Existe un plazo legal para notificar un breach de datos en Chile?

La normativa chilena sobre protección de datos personales está en desarrollo, con exigencias crecientes de notificación a la autoridad y a los afectados; toda empresa debe verificar los plazos vigentes con su equipo legal apenas detecta un incidente.

¿Quién debe ser el vocero en un breach de ciberseguridad?

Generalmente una combinación entre el máximo ejecutivo o el responsable de tecnología, dependiendo de la magnitud del incidente, siempre con mensajes revisados en conjunto con el equipo legal.

¿Se debe comunicar un breach que no afectó a clientes finales?

Depende del tipo de dato comprometido y la normativa aplicable; incluso incidentes internos pueden requerir comunicación a reguladores o accionistas si son materiales para el negocio.

¿Cómo se restaura la confianza del cliente después de un breach?

Con transparencia sostenida sobre las medidas correctivas implementadas, comunicación proactiva de mejoras de seguridad, y evidencia concreta —no solo declarativa— de que la vulnerabilidad fue resuelta.