Comunicar con lo que se sabe y aprender

En un incidente la gente se entera por rumores si la empresa no habla. El primer mensaje a la plantilla no tiene que explicarlo todo; tiene que ser cierto y útil: qué se sabe, qué se le pide a cada persona (no usar ciertos equipos, a quién preguntar), qué todavía no se sabe y cuándo habrá novedades. Un mensaje que promete lo que no se ha comprobado, como que no se llevaron datos, se convierte en una mentira que alguien tendrá que desmentir.

Cada audiencia necesita algo distinto, y cada mensaje lo aprueba una persona definida. El equipo de respuesta no redacta el comunicado: da los hechos que lo sostienen y revisa que nada afirme más de lo que se sabe.

Antes de enviar un comunicado se compara cada afirmación con la evidencia. Una frase puede estar sostenida, puede no tener evidencia todavía, o puede estar contradicha por algo que el equipo ya tiene. Esta última es la peligrosa: se publica y días después alguien ve lo que la desmiente, y el daño ya no es el incidente sino la confianza.

La revisión es mecánica: para cada frase, qué fuente la sostiene. La que tiene una fuente diciendo lo contrario no sale, y se reescribe con lo que sí se sabe.

Abre borrador_del_comunicado.

La revisión posterior empieza por medir. El tiempo de permanencia, desde el primer rastro de la intrusión hasta que empezó el cifrado, dice cuántas oportunidades hubo de verla y no se vio. No es un reproche: es un número que baja cuando mejora la detección, y la forma de saber si mejora.

Se calcula con la cronología confirmada, que contiene solo lo que la investigación dio por seguro. Cuenta las horas completas, cruzando el fin de semana.

La causa raíz no es un nombre ni la herramienta del atacante: es la condición de la empresa que permitió que ocurriera, la que se puede cambiar. Se redacta con lo que la evidencia sostiene, sin añadir hipótesis que nadie comprobó, y de forma que de ella salgan cambios: si la causa es una cuenta con demasiado alcance, el cambio es separar cuentas; si es el acceso remoto sin segundo factor, el cambio es añadirlo.

Una causa raíz que culpa a una persona o a una herramienta que no se investigó no se puede corregir y deja la puerta abierta.

Una mejora sin responsable y sin fecha no es una mejora: es una buena intención. La revisión posterior termina cuando cada cambio tiene una persona que responde por él y un plazo, y se vuelve a mirar en la siguiente reunión. Es lo que convierte el incidente en una regla nueva en vez de en una anécdota.

Revisa el plan y busca lo que no cumple ese mínimo.

Abre plan_de_mejora.