CTL · Control / práctica Responder · Nivel 2 · Intermedio

37.Comunicación y reporte

A quién informar durante y después de un incidente —dirección, personal, afectados, proveedores, autoridades— con mensajes claros, verificados y a tiempo.

¿Qué es?

La comunicación y reporte de un incidente es decidir a quién informar, qué decir, cuándo y por qué medio: desde avisar a la dirección en los primeros minutos hasta informar a las familias afectadas o presentar una denuncia.

En una emergencia, el silencio genera rumores y los mensajes improvisados generan pánico. Comunicar bien es parte de resolver el problema.

En términos técnicos

Público Qué necesita saber
Equipo de respuesta y dirección Todo lo confirmado, rápido, para decidir
Personal Qué pasó a grandes rasgos y qué deben hacer (y no hacer)
Personas afectadas Qué datos suyos se vieron afectados y qué pueden hacer para protegerse
Proveedores Lo necesario para que ayuden o se protejan
Autoridades Lo que exige la ley o lo necesario para una denuncia
Medios y público Un mensaje oficial único, si el incidente es público
  • Se usa un canal alternativo (teléfono, grupo de mensajería preacordado) por si el correo está comprometido.
  • Hay un solo vocero autorizado.

¿Dónde lo vas a encontrar?

En el plan de respuesta a incidentes, en los avisos de «incidente de seguridad» que publican empresas e instituciones, en las notificaciones que recibes cuando un servicio sufre una filtración y en los reportes a autoridades.

¿Por qué importa?

Un caso verosímil

Tras un ataque al sistema escolar, la dirección guarda silencio una semana. Mientras tanto, en los grupos de padres circulan versiones de que «se robaron todos los datos de los niños». Cuando la escuela finalmente informa —y resulta que no hubo robo de datos, solo una caída del sistema—, ya nadie le cree.

Qué se perdió

  • La confianza de las familias, más difícil de recuperar que el propio sistema.

Qué lo habría evitado

Un aviso el primer día: «El sistema escolar está fuera de servicio por un incidente de seguridad. Estamos investigando con especialistas. Hasta ahora no tenemos evidencia de que se hayan visto datos personales. Les informaremos el jueves». Breve, honesto y con fecha del siguiente aviso.

¿Cómo se aplica?

Estructura de un mensaje

  1. Qué pasó (en lenguaje sencillo).
  2. Qué estamos haciendo.
  3. Qué significa para ti (si te afecta o no).
  4. Qué te recomendamos hacer (p. ej. cambiar tu contraseña, desconfiar de mensajes que pidan datos).
  5. Cuándo y por dónde volveremos a informar.
  6. A quién contactar con dudas.

Aviso a personas afectadas (datos personales)

En México, la ley de protección de datos personales aplicable (LFPDPPP para particulares, LGPDPPSO para el sector público) obliga a informar a los titulares cuando una vulneración de seguridad afecte de forma significativa sus derechos. El aviso debe explicar, al menos, la naturaleza del incidente, los datos comprometidos, las recomendaciones para protegerse, las medidas que tomó el responsable y dónde obtener más información.

Reporte a autoridades (México)

Caso A quién
Delito (fraude, extorsión, acceso ilícito a sistemas) Ministerio Público / fiscalía; policía cibernética estatal o de la SSPC
Apoyo técnico ante incidentes CERT-MX
Datos personales La autoridad garante vigente (desde 2025, la Secretaría Anticorrupción y Buen Gobierno, para particulares) cuando la ley o la autoridad lo requieran
Sector regulado (banca, telecomunicaciones) Su regulador, según sus reglas

Por nivel

Nivel Cómo aplicarlo
Persona Si roban tu cuenta, avisa a tus contactos para que no caigan en mensajes falsos; denuncia los fraudes
Escuela Plantillas de mensaje para personal y familias, vocero definido (dirección), contactos de autoridades en el plan
Empresa Plan de comunicación de crisis, asesoría legal, coordinación con aseguradora y reguladores, mensajes preaprobados

Relación con NIST CSF 2.0

Función Categoría Relación
Responder (RS) RS.CO — Incident Response Reporting and Communication Se notifica a los interesados internos y externos según la ley, los contratos y la política
Recuperar (RC) RC.CO — Incident Recovery Communication Se comunica el avance de la recuperación y se cuida la reputación
Gobernar (GV) GV.OC — Organizational Context Las obligaciones legales de notificación se conocen de antemano

Para tomar en cuenta

  • No uses el canal comprometido: si el correo está tomado, el atacante puede leer tus mensajes de respuesta.
  • No des detalles técnicos que ayuden a otro atacante.
  • Coordina con lo legal antes de admitir responsabilidades o cifras.
  • Cuidado con los fraudes posteriores: tras una filtración publicada, llegan correos falsos «de la institución». Advierte a las personas.
  • Documenta qué se comunicó, a quién y cuándo.

Material descargable

Aún no hay material descargable para este tema. Pronto habrá cuadernillos, manuales o laboratorios.

Referencias

© solutions_ · Ciberseguridad · 37 Comunicación y reporte