Qué se reporta y a quién

El primer reporte de un incidente de fuga se manda dentro de la empresa, por el canal definido, y tiene un orden fijo: qué pasó, qué se sabe y de dónde sale, qué se ignora, qué se hizo y qué se pide. No se manda a la prensa, a los clientes ni a la autoridad por iniciativa del analista: esas comunicaciones las decide el comité con legal y el oficial de protección de datos.

Lo que se ignora va escrito como pendiente, no se omite. En la tabla de lo que salió hay dos elementos cuyo contenido es «por determinar».

La matriz de escalamiento de Faroval cruza una condición con un destinatario y un plazo en horas desde la confirmación. Tiene una fila que se activa no solo cuando se sabe que hay datos personales, sino también cuando no se sabe si los hay. Es una regla sensata: la duda sobre datos personales se trata como posibilidad real hasta descartarla, porque decidirlo tarde sale más caro que decidirlo de más.

Dos de los elementos que salieron tienen la columna de datos personales en «por determinar».

El plazo de la matriz se cuenta en horas desde la confirmación, no desde que alguien se enteró informalmente ni desde la primera alerta. Un plazo sin hora de inicio no se puede vigilar. La confirmación consta en el expediente.

Calcula a qué hora debe haberse hecho el escalamiento a ese destinatario, el mismo jueves.

El contrato con Aguas del Páramo tiene una cláusula de aviso en 72 horas desde el «conocimiento confirmado» de que información del cliente fue accedida o divulgada sin autorización. Hoy no se sabe qué contenían las dos subidas de contenido desconocido, y por tanto no se sabe si había información del cliente. El reloj de la cláusula depende de un hecho que no está confirmado.

Tampoco es el analista de GRC quien interpreta el contrato. Prepara el expediente, avisa al área jurídica y a la gerencia de cuenta (la matriz lo prevé en la fila de clientes con cláusula) y vigila que la fecha de confirmación se registre en cuanto exista.

El comité de riesgos del grupo lee en inglés y quiere dos líneas antes de la reunión. Un buen mensaje de incidente en inglés técnico sigue el mismo orden: qué pasó, qué se sabe y qué se ignora, qué se hizo y qué se pide. No califica a nadie, no promete nada que no se sepa y no adorna.

Tienes tres borradores.