Qué hacer si sufres una filtración de datos en tu empresa

El martes 4 de marzo, a las 11:47 de la mañana, el área de TI de Distribuidora Altamirano —una empresa de 35 personas en Santiago que vende insumos industriales— recibió una alerta de su antivirus: comportamiento inusual en el servidor de archivos. Cuando revisaron los logs, encontraron que alguien había accedido al sistema durante la madrugada y descargado una carpeta completa que contenía los datos de contacto y condiciones comerciales de más de 800 clientes.

Lo que ocurrió en las siguientes dos horas determinó si la empresa enfrentaría solo un problema técnico o también uno legal y reputacional. Tenían un protocolo. Lo habían preparado seis meses antes con ayuda externa, convencidos de que nunca lo usarían. Lo usaron.

El protocolo de respuesta en 5 pasos

La respuesta a una filtración de datos sigue una secuencia lógica. Saltarse pasos por apuro o por querer “resolver rápido” genera problemas mayores. El orden importa:

• →1. Detectar y confirmar: lo primero es confirmar que el incidente ocurrió realmente. No entrar en pánico ante una alerta falsa, pero tampoco minimizar. Revisar logs de acceso, identificar qué sistemas estuvieron involucrados, qué datos podrían haber sido comprometidos y durante cuánto tiempo. Esta fase no debe durar más de 2 a 4 horas.
• →2. Contener: cortar el acceso no autorizado inmediatamente. Aislar los sistemas afectados de la red si es necesario, revocar credenciales comprometidas, cerrar las vulnerabilidades que permitieron el acceso. El objetivo es detener el sangrado antes de evaluar cuánto se perdió. En este paso no se apagan servidores sin antes preservar los registros de log.
• →3. Evaluar el alcance: una vez contenido el acceso, determinar exactamente qué datos fueron expuestos. Tipos de datos (personales, financieros, comerciales), cantidad de personas afectadas, período de exposición. Esta evaluación es fundamental para cumplir con las obligaciones legales y para comunicar correctamente.
• →4. Notificar: informar a las partes que corresponde según la ley y el tipo de datos comprometidos. Este paso tiene plazos legales específicos que se explican en la siguiente sección.
• →5. Recuperar y mejorar: restaurar sistemas desde backups limpios, implementar los parches y controles que habrían evitado el incidente, y documentar todo el proceso para aprender de él. Un incidente bien gestionado termina con la empresa más segura que antes.

A quiénes notificar: Ley 21.719 y obligaciones concretas

Chile cuenta desde 2024 con la Ley 21.719 de Protección de Datos Personales, que reemplaza a la antigua Ley 19.628 y establece obligaciones específicas para las empresas ante incidentes de seguridad. Si tu empresa procesa datos personales de personas naturales —y prácticamente todas lo hacen, al tener clientes, empleados o proveedores—, debes conocer estas obligaciones:

• →Notificación a la autoridad: la Ley 21.719 establece que debes notificar a la Agencia de Protección de Datos Personales (AAPDP) dentro de 72 horas desde que tomas conocimiento del incidente, si este representa un riesgo para los derechos y libertades de las personas afectadas. La notificación debe incluir la naturaleza del incidente, las categorías y cantidad aproximada de personas afectadas, y las medidas adoptadas.
• →Notificación a los titulares: cuando el incidente probablemente genere un alto riesgo para los derechos de las personas cuyos datos fueron comprometidos, debes notificarles directamente “sin dilación indebida”. La comunicación debe ser clara y comprensible, sin tecnicismos, y debe incluir qué datos se vieron afectados y qué pueden hacer para protegerse.
• →Registro interno: independientemente de si debes notificar externamente, la ley exige documentar todos los incidentes de seguridad, incluso los menores. Este registro debe incluir los hechos, los efectos y las medidas correctivas adoptadas.

Cómo comunicarlo públicamente sin empeorar la situación

La comunicación pública de una filtración de datos es donde muchas empresas cometen errores que agravan el daño reputacional. La tentación de minimizar o retrasar la comunicación es comprensible, pero generalmente contraproducente: cuando la información llega a los afectados por terceros, o aparece en medios antes de que la empresa haya comunicado nada, el daño es mucho mayor.

Los principios para una comunicación efectiva ante un incidente de seguridad son los siguientes:

• →Sé el primero en comunicarlo: no esperes a que alguien más lo haga público. La empresa que controla el relato del incidente tiene ventaja. Un comunicado proactivo que reconoce el problema y explica las medidas tomadas genera más confianza que una empresa que responde a preguntas de periodistas.
• →Di exactamente lo que sabes, no más: no especules. Si no sabes cuántas personas fueron afectadas, di que la investigación está en curso. Comprometerte con números inexactos que deberás corregir después erosiona la credibilidad.
• →Incluye acciones concretas: la comunicación debe responder qué medidas inmediatas ya tomaste y qué pueden hacer los afectados para protegerse (cambiar contraseñas, revisar sus cuentas, estar alerta a correos sospechosos).

Qué evidencia guardar para después

Un error que cometen muchas empresas en las primeras horas de pánico es modificar o eliminar sistemas afectados antes de preservar la evidencia. Eso puede destruir la capacidad de investigar qué ocurrió y puede generar problemas legales adicionales.

Lo que debes preservar sin modificar: los logs de acceso al sistema afectado, las copias del estado de los archivos o base de datos al momento del incidente, las comunicaciones internas y externas relacionadas con el incidente desde el momento de detección, y cualquier malware o código malicioso encontrado (en un entorno aislado). Todo debe estar fechado y guardado en un lugar al que solo acceda el equipo de respuesta al incidente.

Cómo evitar que vuelva a pasar

El cierre del ciclo de respuesta a un incidente es el análisis post-mortem honesto: qué falló, por qué falló y qué cambios técnicos u organizacionales habrían evitado el incidente. En el caso de Distribuidora Altamirano, la investigación reveló que la cuenta comprometida usaba una contraseña de más de dos años y no tenía autenticación de dos factores activada. El acceso había ocurrido desde una IP en el exterior durante un fin de semana.

Las medidas correctivas implementadas incluyeron: política de rotación de contraseñas cada 90 días, MFA obligatorio para todas las cuentas con acceso a datos sensibles, alertas automáticas ante accesos fuera de horario habitual, y un simulacro trimestral de respuesta a incidentes para que el equipo supiera qué hacer sin necesidad de improvisar.

Doce meses después del incidente, la empresa tiene una postura de seguridad significativamente mejor que antes. A veces se necesita un susto real para tomar en serio algo que siempre se postergó.