Comunicación en Crisis Cibernéticas

Importancia de la Comunicación en Crisis

Durante un incidente de seguridad, una comunicación inadecuada puede amplificar el daño a la reputación de la organización tanto como el propio ataque. Una estrategia de comunicación bien ejecutada demuestra transparencia, control y compromiso con los stakeholders.

Principios de la Comunicación de Crisis

  • Rapidez: Primera comunicación en las primeras horas tras el descubrimiento
  • Transparencia: Ser honesto sobre lo ocurrido y sus impactos
  • Consistencia: Un mensaje único coordinado en todos los canales
  • Empatía: Reconocer el impacto en los afectados
  • Proactividad: Anticipar preguntas y preocupaciones
  • Continuidad: Actualizaciones regulares incluso sin novedades significativas

Stakeholders y Audiencias

Internos

  • C-Level y Junta Directiva: Briefings ejecutivos, impacto financiero/legal
  • Colaboradores: Instrucciones prácticas, tranquilización
  • TI y Seguridad: Detalles técnicos, coordinación de respuesta
  • Jurídico y Compliance: Implicaciones legales y regulatorias

Externos

  • Clientes: Impactos directos, medidas de protección
  • Socios/Proveedores: Exposición en la cadena, colaboración
  • Medios: Comunicados de prensa, entrevistas controladas
  • Reguladores: ANPD, CVM, BACEN - notificaciones formales
  • Público General: Redes sociales, sitio web institucional

Estructura del Equipo de Comunicación

  • Crisis Communication Lead: Coordinador central de la comunicación
  • Portavoz Oficial: CEO, CTO o ejecutivo designado
  • Gabinete de Prensa: Gestión de medios y comunicados de prensa
  • Social Media Manager: Monitoreo y respuestas en redes
  • Customer Support Lead: Guiones para la atención al cliente
  • Legal Advisor: Revisión de comunicaciones para garantizar el cumplimiento

Cronología de la Comunicación

Primeras 2 horas:

  • Comunicación interna al C-Level y al CSIRT
  • Activación del plan de comunicación de crisis
  • Preparación del holding statement

Primeras 6-12 horas:

  • Comunicación a los colaboradores (correo interno)
  • Notificación a los clientes directamente afectados
  • Primera comunicación pública (sitio web/redes sociales)
  • Preparación de FAQ para los support teams

Primeras 24-48 horas:

  • Comunicado de prensa oficial con detalles confirmados
  • Notificación a los reguladores (ANPD: hasta 2 días hábiles)
  • Comunicación amplia a toda la base de clientes
  • Briefing de accionistas/inversores si corresponde

Semanas siguientes:

  • Actualizaciones regulares sobre el progreso de la investigación
  • Anuncio de medidas correctivas implementadas
  • Informe final y lessons learned (tras la resolución)

Plantillas de Comunicación

Holding Statement (inicial):

"Somos conscientes de un incidente de seguridad que afectó a [sistemas/datos]. Nuestros equipos están investigando activamente y tomando medidas para contener el impacto. Mantendremos a nuestros stakeholders informados a medida que haya nueva información disponible."

Notificación a Clientes:

"Hemos identificado que [descripción del incidente] ocurrió el [fecha]. [Tipos de datos] pueden haber sido expuestos. No hemos encontrado evidencia de [uso indebido]. Le recomendamos que [acciones específicas: cambiar la contraseña, monitorear extractos]. Ofrecemos [servicios de protección/monitoreo]. Para más información: [canal de contacto]."

Gestión de Medios y Prensa

  • Portavoz Único: Evitar contradicciones con múltiples voces
  • Media Training: Portavoces preparados para preguntas difíciles
  • Bridging: Técnica para redirigir preguntas inconvenientes
  • "Sin comentarios" es malo: Ofrecer siempre alguna información, aunque sea limitada
  • Corrección Rápida: Si hay imprecisiones en los medios, corregirlas de inmediato
  • Monitoreo: Seguimiento de menciones en medios tradicionales y sociales

Comunicación en Redes Sociales

Estrategia para redes sociales:

  • Monitoreo 24/7 durante la crisis
  • Respuestas rápidas (meta: < 1 hora)
  • Empatía y humanización (evitar respuestas automáticas)
  • Derivación a canales apropiados (soporte, privacidad)
  • No eliminar comentarios negativos (transparencia)
  • Corrección de desinformación con hechos

Qué Evitar

Errores comunes de comunicación en crisis:

  • Minimizar la gravedad ("incidente menor")
  • Culpar a terceros sin evidencias
  • Prometer lo que no se puede cumplir ("nunca más volverá a ocurrir")
  • Usar jerga técnica excesiva con público lego
  • Silencio prolongado sin actualizaciones
  • Comunicación defensiva o combativa
  • Información contradictoria entre canales
  • Ignorar las obligaciones legales de notificación

Mejores Prácticas

  • [OK] Tener plantillas preaprobadas jurídicamente
  • [OK] Capacitar a los portavoces antes de la crisis
  • [OK] Mantener una lista de contactos actualizada (24/7)
  • [OK] Coordinar con jurídico antes de las comunicaciones externas
  • [OK] Documentar todas las comunicaciones
  • [OK] Realizar tabletop exercises que incluyan la comunicación
  • [OK] Monitorear el sentimiento y ajustar el mensaje
  • [OK] Post-mortem que incluya el análisis de la comunicación