Más allá de la brecha: por qué la respuesta es ahora la noticia

Más allá de la brecha: por qué la respuesta es ahora la noticia principal.

By Kate O'Flaherty • 15 de septiembre de 2026 • 6 minutos de lectura

A medida que las brechas de seguridad se han convertido en parte del día a día empresarial, ¿cómo ha evolucionado el debate y qué revelan los incidentes recientes sobre una buena —y una mala— respuesta ante incidentes?

Incluso hace tan solo cinco años, una empresa que sufría una brecha de seguridad era sometida a un intenso escrutinio, que incluía meses de investigación sobre cómo y por qué se había producido el ataque, especialmente si se habían expuesto datos confidenciales.

Si bien este nivel de escrutinio aún se mantiene, ahora es ampliamente aceptado que los ciberataques ocurrirán, especialmente dirigidos a empresas de gran renombre. Esto quedó muy claro recientemente cuando compañías como Coca-Cola , Ernst & Young , Craneware y Abbott admitieron incidentes cibernéticos con pocos meses de diferencia.

Más allá de la filtración en sí, estas revelaciones en múltiples sectores durante un corto período de tiempo muestran una tendencia más amplia. A medida que los incidentes cibernéticos se vuelven más difíciles de prevenir, los clientes, los reguladores y los socios están prestando mayor atención a cómo las organizaciones responden, se recuperan y se comunican cuando algo sale mal.

¿Cómo ha evolucionado el debate y qué revelan las recientes filtraciones sobre la buena —y la mala— respuesta ante incidentes?

Expectativas cambiantes

Las expectativas en torno a los incidentes cibernéticos han cambiado. Hace una década, las organizaciones eran juzgadas principalmente por si sufrían o no una brecha de seguridad. Hoy en día, las partes interesadas entienden que "ninguna organización es inmune", afirma Doug Jewitt, consultor de seguridad de Infinity Group.

Describe cómo la atención se ha centrado ahora en la rapidez con la que una organización identifica un incidente, la transparencia con la que responde y la eficacia con la que se recupera. «Existe una clara expectativa de que las organizaciones de todos los tamaños cuenten con controles técnicos adecuados».

Las recientes revelaciones sobre Coca-Cola, Ernst & Young, Craneware y Abbott demuestran que una comunicación oportuna y sustancial puede moderar la reacción de las partes interesadas, afirma Tracey Hannan-Jones, directora de consultoría de seguridad de la información en UBDS Group. «El silencio, la demora o las declaraciones vagas invitan a la especulación y suelen causar un daño a la reputación desproporcionado al incidente técnico. Una organización incapaz de explicar qué sucedió, qué está haciendo y qué se desconoce aún, da la impresión de no estar preparada».

La diferencia entre una buena y una mala respuesta radica en la "visibilidad y el contexto", afirma Jeremy Leasher, arquitecto de seguridad de Binalyze. Considera que el reciente ataque a la organización sanitaria Stryker es un claro ejemplo de dónde pueden surgir problemas.

“El comunicado inicial insinuaba que no había ransomware ni malware, y que el incidente estaba controlado”, declaró Leasher a IO.

Técnicamente, esto era cierto, pero cuando se supo que el ataque se produjo a través de una herramienta de administración de confianza en lugar de un malware, dejó de importar, afirma Leasher. "Estratégicamente, parecía que Stryker no comprendía la amenaza".

Funciones de los reguladores

Mientras tanto, los organismos reguladores desempeñan ahora un papel fundamental en la configuración de la respuesta ante incidentes, incluidas las expectativas en torno a la presentación de informes y la divulgación de información.

La actualización general del Reglamento General de Protección de Datos ( RGPD ) del Reino Unido exige la notificación de las violaciones de datos personales en un plazo de 72 horas, mientras que la Autoridad de Conducta Financiera , la Directiva 2 de la UE sobre redes y sistemas de información , y la Comisión de Bolsa y Valores de EE. UU. imponen obligaciones de notificación adicionales. «Los reguladores evalúan cada vez más no solo si se realizó la notificación, sino también su rapidez, calidad, precisión y seguimiento», afirma Hannan-Jones, de UBDS Group.

Una de las consecuencias prácticas más importantes es el factor tiempo, afirma David Dumont, socio de Hunton. Señala que muchas obligaciones de notificación tienen plazos muy ajustados. «Por lo tanto, las organizaciones pueden tener que dedicar una cantidad considerable de tiempo y recursos a evaluar los requisitos de notificación y preparar los formularios regulatorios casi inmediatamente después de tener conocimiento de un incidente, a menudo mientras los hechos aún se están desarrollando».

Al mismo tiempo, el propio organismo regulador desempeña un papel cada vez más importante, afirma Paul Wiggins, experto en datos de Freeths. Señala que, en virtud de la Ley de Uso y Acceso a los Datos , la Oficina del Comisionado de Información del Reino Unido (ICO) cuenta con mayores facultades para hacer cumplir la ley. «Se prevé que la ICO actúe como guardián de la regulación, con la esperanza de que esto permita resolver las reclamaciones de menor cuantía», declara a IO.

Rapidez, transparencia y precisión

Si bien las empresas siguen sufriendo ataques, muchos expertos creen que están mejorando en la gestión de incidentes cibernéticos. Dray Agha, gerente sénior del centro de operaciones de seguridad para EMEA en Huntress, afirma que la mejora se debe en gran medida a que el estigma histórico asociado a las brechas de seguridad está desapareciendo. «Las empresas reconocen que los incidentes son una realidad inevitable, lo que les permite centrar sus esfuerzos en minimizar el tiempo de inactividad en lugar de ocultar el problema».

Ahora es importante que las organizaciones encuentren el equilibrio entre rapidez, transparencia y precisión durante un incidente.

Para responder eficazmente a una brecha de seguridad se requieren varios pasos clave. Contar con las políticas y el equipo adecuados para "actuar con rapidez cuando llegue el momento" es fundamental, afirma Wiggins, de Freeths.

Destaca la importancia de contar con un equipo que incluya asesores externos —como abogados, agentes de relaciones públicas y aseguradoras cibernéticas—, lo cual considera fundamental para definir la estrategia y la respuesta ante un incidente. «Además, es crucial la voluntad de brindar apoyo y tranquilidad a los titulares de datos afectados, así como la colaboración con los socios de la cadena de suministro que sufren las consecuencias del incidente».

Según Leasher, de Binalyze, las organizaciones que mejor responden ante una brecha de seguridad son aquellas que han realizado una planificación previa.

En esencia, él cree que deberían poder responder rápidamente a las tres preguntas básicas: "¿El atacante aún tiene acceso? ¿Cómo entró? ¿Qué se llevó?"

La comunicación y la transparencia son esenciales y pueden marcar la diferencia entre un incidente cibernético y un problema empresarial o una crisis de reputación, señala Jewitt, de Infinity Group. «Clientes, socios y reguladores entienden que las investigaciones llevan tiempo, pero esperan honestidad, actualizaciones puntuales y explicaciones claras sobre lo que se sabe, lo que aún se está investigando y las medidas que se están tomando».

La clave está en “comunicar lo que se sabe, reconocer lo que se desconoce y comprometerse a actualizar la información periódicamente”, afirma Jewitt. “Esperar a tener la información perfecta puede retrasar decisiones cruciales, pero sacar conclusiones precipitadas puede dañar la confianza”.

Gobierno fuerte

Una gobernanza sólida es fundamental para una respuesta eficaz ante incidentes. Esto implica garantizar una clara responsabilidad, procesos establecidos y una toma de decisiones informada antes de que se produzca una crisis.

Una gobernanza sólida garantiza que se puedan tomar decisiones con rapidez y confianza durante una crisis, afirma Jewitt. «Una clara definición de responsabilidades, vías de escalamiento establecidas y funciones bien definidas eliminan la incertidumbre cuando el tiempo apremia. Las organizaciones que invierten en gobernanza antes de un incidente suelen estar mejor preparadas para gestionar los requisitos normativos, la comunicación con las partes interesadas y las labores de recuperación cuando este se produce».

Una respuesta eficaz ante incidentes no puede improvisarse, afirma Hannan-Jones de UBDS Digital. “La detección es fundamental, pero la contención rápida depende de una autoridad clara y una coordinación bien planificada. Los equipos técnicos, legales, de comunicaciones y ejecutivos deben trabajar juntos desde el principio. Los incidentes cibernéticos que afectan a los datos, la propiedad intelectual o las operaciones son eventos empresariales, no simples problemas informáticos. Es esencial que la junta directiva asuma la responsabilidad de forma visible”.

La norma ISO 27001 puede reforzar la preparación cuando se utiliza como marco operativo, pero la certificación por sí sola es insuficiente, afirma Hannan-Jones. «Los planes no probados, las responsabilidades mal definidas y los ejercicios centrados únicamente en TI generan una falsa sensación de seguridad».

Según ella, la resiliencia efectiva se basa en cuatro capacidades practicadas: "Detectar, contener, responder y recuperarse".