Cómo preparar la comunicación interna durante un incidente de ciberseguridad

Asigna roles antes de que ocurra el incidente

Define quién coordina la investigación, quién valida el estado operativo y quién puede comunicar instrucciones al resto del equipo. Dirección, IT y responsables de proceso deben conocer el canal. En una pyme, quizá varios roles recaigan en pocas personas; indica quién sustituye a cada una si no está disponible.

Prepara un canal alternativo conocido

El correo corporativo puede no estar disponible durante un incidente de cuenta o proveedor. Acuerda un canal alternativo de uso empresarial, quién lo administra y cómo verificar que un aviso es auténtico. No dependas de publicar credenciales o instrucciones sensibles en un chat personal abierto.

Construye cada mensaje con cuatro partes

Explica qué servicio o actividad afecta, qué se ha confirmado, qué acción debe realizar el lector y cuándo llegará la siguiente actualización. Si la causa está sin investigar, dilo. Si el impacto varía por persona o ubicación, solicita el dato por el canal adecuado y no generalices a toda la empresa.

Separa investigación técnica de instrucciones operativas

El equipo de respuesta puede mantener hipótesis que no conviene presentar como diagnóstico. La comunicación al empleado debe ofrecer acciones seguras y claras, como no usar un sistema temporalmente, preservar un mensaje o llamar a una persona responsable. Confirma que cada instrucción refleja una decisión técnica vigente.

Evita prometer tiempos o impacto sin validación

No anuncies una hora de recuperación porque el proveedor dio una estimación preliminar. Distínguela de un compromiso confirmado y actualízala si cambia. Tampoco afirmes que no hubo acceso a datos antes de que la revisión tenga evidencia suficiente. La precisión reduce correcciones posteriores y ayuda a conservar la confianza interna.

Registra versión, audiencia y momento del aviso

Guarda quién autorizó cada mensaje, a qué equipos se envió y qué estado describía. Si se actualiza una instrucción, enlaza el aviso previo e indica qué cambió. El histórico evita que un empleado siga un mensaje antiguo reenviado cuando ya se pidió volver a usar el sistema.

Define cuándo se escala la comunicación

Un impacto que cambia el servicio, el cliente afectado o la información conocida puede requerir otra aprobación. Acuerda qué rol consulta a dirección, asesoría o especialistas externos y qué material necesita. La guía de gestión de crisis de INCIBE puede apoyar la preparación, pero no sustituye una revisión legal sobre notificaciones obligatorias o plazos.

Cierra el incidente con instrucciones posteriores

Cuando se restablece un servicio, comunica qué se probó, qué actividad puede continuar y qué tareas quedaron pendientes. Si se recopilaron registros o se usaron canales temporales, indica cómo se conservarán o retirarán según el procedimiento interno. Después revisa mensajes confusos y tiempos de actualización para mejorar el plan.

Fuentes y documentación

• INCIBE · Guía de gestión de crisis de ciberseguridad en empresas — Material de planificación de crisis; incluye preparación, coordinación y tratamiento de incidentes originados en proveedores.