Ciberamenazas. La comunicación del ataque en real time

Desde el punto de vista de la protección reputacional de las compañías y de sus CEOS, nos encontramos ante uno de los peores escenarios que puedan enfrentar Internet y las redes en su conjunto: el campo de batalla en el que las conversaciones van a transparentarse en tiempo real. Ya lo estamos viendo. Lo hemos visto claramente con WannaCry. Los empleados han contado en real time lo que pasaba. Ahora mismo es inútil intentar ocultar que te han atacado. Se va a filtrar.

Para coronar la tormenta perfecta a la que nos enfrentamos, debemos sumar la capacidad de viralización que tiene la información negativa y más aún si es falsa. Hay estudios que demuestran que un tuit que refleje la realidad tiene una vida de 2 horas y uno falso, de 18 horas.

Pero claro, si somos tan vulnerables ¿cuál es la solución? No vamos a descubrir aquí la pólvora. No escribas nada que no puedas sostener en público. Dicen que el cardenal Richelieu sentenció “Nunca escribas una carta, y nunca destruyas ninguna”. Aunque en realidad es una cita apócrifa.

Lo que es evidente es que, para nuevas amenazas, sobre todo ante las elevadas velocidades de transmisión de la información y el aumento exponencial del número de ataques, no puedes contraponer las viejas metodologías de gestión de crisis. Esto no va a funcionar.

Resolver el nuevo escenario de riesgo va a requerir un abordaje multidisciplinar desde un punto de vista reputacional que pasa por:

• Nuevos sistemas de monitorización de riesgos que generen alerta automáticas en la organización empleando bots.
• Plataformas avanzadas digitales de gestión de crisis en las que trabajar toda la gestión de la misma, y que cubran todas las fases (desde la detección y envío de la alerta, hasta su categorización, envío de instrucciones, generación de grupos de conversación así como tareas de mando y control).
• Y lo más importante, un equipo de especialistas en gestión de ciberriesgos desde la perspectiva reputacional con amplia experiencia, con metodologías nuevas de gestión y con disponibilidad de 24 horas los 365 días del año. Porque al final, en muchas ocasiones van a ser los clientes de cualquiera de nuestros mercados los primeros en dar el aviso sobre la caída de sistemas. Y no podemos esperar a que rebote de Twitter a los medios para ponernos manos a la obra. Hacerlo es un suicidio.

La narrativa de los medios ante ciberataques

Es evidente que los medios están muy interesados en hablar cada vez más de la amenaza existente. A la hora de configurar el relato es muy atractivo hablar de fuerzas ocultas distribuidas en un entorno oculto, desdibujadas y sin una cabeza clara. De nuevo lo ocurrido con WannaCry responde a ese esquema.

La mayor parte de los ataques son obra de ciberdelincuentes perfectamente organizados que van muy por delante de la policía y de las compañías. Sin embargo, es mucho más atractivo para un periodista hablar de ciberterrorismo y de la guerra electrónica que de ciberdelincuencia. Y no decimos con esto que no tenga valor informativo generar titulares sobre el supuesto robo y publicación de los correos electrónicos de Hillary Clinton para influir en la campaña electoral norteamericana. Cualitativamente tiene mucho valor, pero realmente ¿Qué porcentaje de este tipo de ataques se producen respecto al total?

Quienes de verdad están siendo atacados de forma constante son las compañías. De nuevo WannaCry es el ejemplo perfecto. Hablamos mucho de infraestructuras críticas y de su vulnerabilidad. Y realmente esto es un problema, pero quienes más lo sufren son los datos de las compañías porque ahí está el negocio para los ciberdelincuentes y es ahí donde la brecha de seguridad, fundamentalmente en los móviles de los empleados, son más amplias.

Y claro, no es ya sólo que los ciberataque se dupliquen año tras año. No. El problema es que la vulnerabilidad reputacional de la compañía se va a ver gravemente incrementada por dos factores: la nueva directiva NIS y el nuevo Reglamento Europeo de Protección de Datos. No olvidemos que el año próximo las empresas van a tener que comunicar al CERT los ataques obligatoriamente, y bajo determinadas circunstancias, deberán informar a sus clientes de los mismos. Y claro, aquí lo unimos con el segundo elemento: las redes sociales. En cuanto el prestador de servicio informe al cliente, si este no se había dado ya cuenta, en ese momento subirá la información recibida a las redes sociales.

Es decir, no sólo te roban los datos de tus clientes o te echan abajo los servidores, sino que encima la información de las redes sociales va a contribuir a que juntes un gran número de papeletas para que el ataque sea divulgado en los medios de forma masiva.

Unámosle a la pena de telediario las sanciones que se pueden recibir, el daño reputacional para el negocio va a ser enorme. Y creo yo que, a estas alturas, todos sabemos que sin reputación no podremos mantener la licencia social para operar en el mercado.

Luis Serrano, Director del área Crisis de LLORENTE & CUENCA.

Manuel Carpio, Socio director y vicepresidente del Consejo de Administración de
Intelsynet.