REDACCIÓN Martes 30 de mayo de 2017
Javier Salgado, director de Atrevia en Estados Unidos, publica en su blog un interesante post, del que ofrecemos aquí un extracto.
ARTÍCULO PATROCINADO POR PUNTONEWS
Javier Salgado comienza su post pasando revista a algunos de los ciberataques más sonados de los últimos años. El de Ashley Madison, que puso en vilo a más de 37 millones de usuarios infieles a sus parejas; el de Sony Pictures a raíz del estreno de su película The Interview. Y, más recientemente, el ataque global WannaCry que hace unos días afectó a 200.000 equipos de unos 150 países, entre ellos España.
Se trata de un fenómeno que va a ir a más y que puede afectar de forma indiscriminada a cualquier tipo de empresas. En este contesto, «la comunicación desempeña un papel crucial a la hora de minimizar el daño a tu reputación. De nada sirve contar con sofisticados sistemas de seguridad si no dispones de una adecuada estrategia que permita hacer saber a los públicos de tu compañía qué medidas estás adoptando para mantener el control de la situación y defender sus intereses».
Salgado explica qué hay que hacer «antes», «durante» y «después» de un cibertataque. Estas son algunas de sus recomendaciones:
- Actualiza tu Manual de Crisis. «Incluye en él el escenario de un hackeo. ¿Aún no contemplas el ciberdelito como una de las situaciones de crisis que pueden golpear a tu organización? Vas con retraso porque a los escenarios de riesgo de tu empresa se ha añadido este desde hace tiempo. No importa el tamaño de tu compañía ni el sector al que pertenece, ya que todas las organizaciones son candidatas a padecer brechas que se traduzcan en fuga de datos y, por tanto, en un riesgo reputacional».
- Instruye a tu público interno, que desempeña un papel clave antes, durante y después del hackeo. «Tu equipo debe saber que prácticas pueden favorecer un ciberdelito. Especialmente si utiliza smartphones a través de los cuales envía o recibe emails, trabaja con datos relativos a las tarjetas de crédito de tus clientes o con cualquier otra información sensible. Fórmale e infórmale para que sepa qué medidas cabe adoptar para reducir riesgos en la medida de lo posible. Y recuerda que el empleado es tu mejor aliado a la hora de comunicar al exterior».
- Informa a tus stakeholders sobre lo ocurrido.» Empieza por aquellos afectados por el ciberdelito. Toma la iniciativa y no dejes que tengan conocimiento de los hechos a través de otros. Comunícate con ellos lo antes posible, sé sincero, muestra empatía e infórmales en tiempo real de lo que estás haciendo para solucionar la situación creada. Si has hecho los deberes y cuentas con un Manual de Crisis que contempla el ciberataque como uno de los escenarios de riesgo, seguro que tienes borradores de comunicados preparados. Son muy útiles y te permitirán reaccionar con agilidad y rapidez».
- Cumple la legalidad. «Comunica los hechos a las autoridades. Tal y como te he comentado, si la tuya es una empresa española, a partir de 2018 los requisitos en este sentido van a ser aún más estrictos en este sentido».
- Prepara al front desk. «El papel de aquellos trabajadores que desempeñan funciones de cara al público es esencial, así que imparte instrucciones sobre lo que deben decir ante peticiones de información por parte de cualquiera de tus públicos externos. Facilítales un documento de preguntas y respuestas que contenga todas aquellas dudas que puedan albergar tus clientes en un momento dado. Explica a tus stakeholders dónde deben dirigirse para mayor información».
- Monitoriza. «Presta especial atención a todo aquello que se dice de ti en el ámbito offline y online. Te permitirá actuar a tiempo si surgen rumores que puedan acrecentar las alarmas innecesariamente».
- Evalúa. «Como en cualquier otra crisis, conviene extraer conclusiones de lo ocurrido para saber qué aspectos son mejorables si la situación se repite».
PARA LEER EL POST COMPLETO PINCHA AQUÍ
ARTÍCULO PATROCINADO POR PUNTONEWS
Desde el punto de vista de la protección reputacional de las compañías y de sus CEOS, nos encontramos ante uno de los peores escenarios que puedan enfrentar Internet y las redesen su conjunto: el campo de batalla en el que las conversaciones van a transparentarse en tiempo real.|
Ya lo estamos viendo. Lo hemos visto claramente con WannaCry. Los empleados han contado en real time lo que pasaba. Ahora mismo es inútil intentar ocultar que te han atacado. Se va a filtrar.
Para coronar la tormenta perfecta a la que nos enfrentamos, debemos sumar la capacidad de viralización que tiene la información negativa y más aún si es falsa. Hay estudios que demuestran que un tuit que refleje la realidad tiene una vida de 2 horas y uno falso, de 18 horas.
Pero claro, si somos tan vulnerables ¿cuál es la solución? No vamos a descubrir aquí la pólvora. No escribas nada que no puedas sostener en público. Dicen que el cardenal Richelieu sentenció “Nunca escribas una carta, y nunca destruyas ninguna”. Aunque en realidad es una cita apócrifa.
Lo que es evidente es que, para nuevas amenazas, sobre todo ante las elevadas velocidades de transmisión de la información y el aumento exponencial del número de ataques, no puedes contraponer las viejas metodologías de gestión de crisis. Esto no va a funcionar.
Resolver el nuevo escenario de riesgo va a requerir un abordaje multidisciplinar desde un punto de vista reputacional que pasa por:
- Nuevos sistemas de monitorización de riesgos que generen alerta automáticas en la organización empleando bots.
- Plataformas avanzadas digitales de gestión de crisis en las que trabajar toda la gestión de la misma, y que cubran todas las fases (desde la detección y envío de la alerta, hasta su categorización, envío de instrucciones, generación de grupos de conversación así como tareas de mando y control).
- Y lo más importante, un equipo de especialistas en gestión de ciberriesgos desde la perspectiva reputacional con amplia experiencia, con metodologías nuevas de gestión y con disponibilidad de 24 horas los 365 días del año. Porque al final, en muchas ocasiones van a ser los clientes de cualquiera de nuestros mercados los primeros en dar el aviso sobre la caída de sistemas. Y no podemos esperar a que rebote de Twitter a los medios para ponernos manos a la obra. Hacerlo es un suicidio.
La narrativa de los medios ante ciberataques
Es evidente que los medios están muy interesados en hablar cada vez más de la amenaza existente. A la hora de configurar el relato es muy atractivo hablar de fuerzas ocultas distribuidas en un entorno oculto, desdibujadas y sin una cabeza clara. De nuevo lo ocurrido con WannaCry responde a ese esquema.
La mayor parte de los ataques son obra de ciberdelincuentes perfectamente organizados que van muy por delante de la policía y de las compañías. Sin embargo, es mucho más atractivo para un periodista hablar de ciberterrorismo y de la guerra electrónica que de ciberdelincuencia. Y no decimos con esto que no tenga valor informativo generar titulares sobre el supuesto robo y publicación de los correos electrónicos de Hillary Clinton para influir en la campaña electoral norteamericana. Cualitativamente tiene mucho valor, pero realmente ¿Qué porcentaje de este tipo de ataques se producen respecto al total?
Quienes de verdad están siendo atacados de forma constante son las compañías. De nuevo WannaCry es el ejemplo perfecto. Hablamos mucho de infraestructuras críticas y de su vulnerabilidad. Y realmente esto es un problema, pero quienes más lo sufren son los datos de las compañías porque ahí está el negocio para los ciberdelincuentes y es ahí donde la brecha de seguridad, fundamentalmente en los móviles de los empleados, son más amplias.
Y claro, no es ya sólo que los ciberataque se dupliquen año tras año. No. El problema es que la vulnerabilidad reputacional de la compañía se va a ver gravemente incrementada por dos factores: la nueva directiva NIS y el nuevo Reglamento Europeo de Protección de Datos. No olvidemos que el año próximo las empresas van a tener que comunicar al CERT los ataques obligatoriamente, y bajo determinadas circunstancias, deberán informar a sus clientes de los mismos. Y claro, aquí lo unimos con el segundo elemento: las redes sociales. En cuanto el prestador de servicio informe al cliente, si este no se había dado ya cuenta, en ese momento subirá la información recibida a las redes sociales.
Es decir, no sólo te roban los datos de tus clientes o te echan abajo los servidores, sino que encima la información de las redes sociales va a contribuir a que juntes un gran número de papeletas para que el ataque sea divulgado en los medios de forma masiva.
Unámosle a la pena de telediario las sanciones que se pueden recibir, el daño reputacional para el negocio va a ser enorme. Y creo yo que, a estas alturas, todos sabemos que sin reputación no podremos mantener la licencia social para operar en el mercado.
Luis Serrano, Director del área Crisis de LLORENTE & CUENCA.
Manuel Carpio, Socio director y vicepresidente del Consejo de Administración de
Intelsynet.
La entrada Ciberamenazas. La comunicación del ataque en real time aparece primero en LLORENTE & CUENCA.
