Cooperación con el regulador y con el CSIRT nacional

Los incidentes se comunican con un punto único de contacto que define la empresa: normalmente jurídico o la dirección de seguridad, con el área de comunicaciones para la prensa. El analista no responde a la autoridad, a los medios ni a terceros por su cuenta, aunque la persona que pregunta sea amable o tenga prisa. Lo que sí hace es registrar quién pidió qué, por qué canal y a qué hora, y llevarlo a quien corresponde.

La razón es sencilla: cada respuesta es una declaración de la empresa. Una cifra dicha por teléfono por la persona equivocada puede contradecir la que luego se notifica oficialmente.

Abre la consola. Las solicitudes llegaron por canales distintos. Algunas vienen de entidades con función legal y ya tienen un oficio interno de jurídico que autoriza responder; otras no tienen nada. En Colombia la autoridad de protección de datos es la Superintendencia de Industria y Comercio y el equipo nacional de respuesta es ColCERT; en ambos casos la entidad tiene su canal oficial, y por eso importa por dónde llega la petición.

No todo el que pide datos desde dentro tiene derecho a recibirlos. Una lista de personas afectadas es información personal de esas personas: usarla para un fin distinto del que justifica el incidente, por ejemplo vender o regalar un bono, es un uso que nadie autorizó. Quien la pida sin autorización de jurídico recibe un «sí, lo escalo», no la lista.

Los equipos nacionales de respuesta trabajan con indicadores técnicos: direcciones, nombres de equipo, hora y tipo de incidente. Según el formulario de reporte de ColCERT, deben incluir los hosts de origen y destino, sus direcciones IP y su función, la fecha y hora con su zona horaria y el tipo de incidente según una taxonomía. No necesitan los nombres de los clientes afectados, y el analista no los incluye.

Compartir indicadores ayuda a otras organizaciones a defenderse; compartir datos personales es otra decisión, de jurídico.

Un reporte sin zona horaria se interpreta mal: la misma hora puede ser cinco horas distinta según quién la lea. Es el campo que más se olvida porque quien escribe da por hecho su propia zona. Compara el borrador con los campos que acabas de leer y completa tu lista de pendientes.