El aviso a un regulador financiero

En Colombia, la Superintendencia Financiera supervisa a las entidades que vigila, y su Circular Externa 007 de 2018 pide gestionar el riesgo de ciberseguridad y comunicar los incidentes significativos, con una descripción, su impacto y las medidas tomadas. El plazo concreto y la forma de reporte se consultan siempre en el texto vigente y en el procedimiento de la entidad; aquí se usa un plazo interno inventado.

Un aviso inicial no espera a tener todo: dice lo que está confirmado, el impacto conocido, lo que se hizo para contener y lo que se sigue investigando, con una nota de que se actualizará. Lo que no está confirmado se rotula así, nunca se escribe como hecho.

El reloj de un incidente tiene varios momentos distintos: cuándo empezó la actividad, cuándo se detectó, cuándo se contuvo y cuándo se confirmó. Mezclarlos es un error clásico de los informes. La detección es la hora en que alguien de la entidad lo vio.

Ejecuta SELECT * FROM cronologia WHERE estado = 'confirmado'.

Entre los hechos de la cronología hay uno que nadie ha probado: cómo se obtuvo la credencial. Parece lógico y el equipo lo comenta, pero no tiene evidencia. En el aviso va como línea de investigación, no como causa.

Ejecuta SELECT * FROM cronologia y observa la columna estado y la columna fuente.

Una política interna puede fijar plazos más cortos que los de la norma, y se cumple igual. Aquí el plazo corre desde la confirmación del incidente, no desde la detección. Hay que leer la política y el hecho que marca la confirmación.

Ejecuta SELECT * FROM politica y SELECT * FROM cronologia WHERE estado = 'confirmado'.

Hay cuentas con afectación confirmada y cuentas por verificar. El aviso no suma las dos en una cifra única ni deja fuera las segundas: las separa y dice que la cifra puede cambiar cuando se verifiquen.

Ejecuta SELECT * FROM afectados.