Levantarse antes de caer: Cómo gestionar una cíber crisis

La gestión y comunicación de una cíber crisis, conceptos a todas luces inseparables, también están en plena transformación. La cuestión aquí es determinar si están cambiando las reglas, el tablero de juego o ambas

Como cada día, Tom se levantó de la cama y repitió el ritual. Cinceló su torso con 50 flexiones, se preparó un expreso en su flamante cafetera italiana y consultó el correo electrónico en su tablet. Tenía un mensaje un tanto extraño de JP Morgan Chase, banco en el que gestionaba sus inversiones. Lo abrió y se quedó atónito. El correo mostraba todo el historial financiero de un desconocido: saldos, números de cuenta, operaciones… En ese momento, Tom aun no era consciente de la situación que estaba viviendo, se había convertido en uno de los miles de protagonistas de una de las cíber crisis más sonadas de los últimos años.

El gigante inversor se vio sacudido a finales del mes de agosto por una fuga masiva de datos que menoscabó su línea de flotación: su reputación y, por extensión, la de sus clientes.

Máxime la de aquellos que ostentan grandes fortunas, particularmente celosos de mantener a buen recaudo el detalle de sus movimientos y estados bancarios.

JP Morgan estaba en el medio de una gran crisis, pero no era el único actor empresarial en esta situación. T-Mobile, The Phone House, Facebook, muy recientemente Twitch… cualquiera puede ser el siguiente.

Reina aquí el mismo tópico que acecha a los que somos amantes de las dos ruedas: solo existen dos tipos de conductores, los que han caído y los que van a caer.

En este contexto de golpes y más golpes, también se ha evidenciado una carencia: la literatura sobre comunicación y gestión de crisis se focaliza en episodios que poco o nada tienen que ver con la dimensión digital que domina nuestra realidad en tanto personas y organizaciones.

Cierto es que las crisis generan pánico, y esa puede ser otra de las causas que hacen que, aun ante la mejor preparación, haya empresas que ignoren sus propios planes de contingencia cuando se encuentran en pleno trance, pero esta cuestión merece ser objeto de su propio debate.

La Red es ubicua, asíncrona y deslocalizada. En cambio, los manuales existentes se erigen, en su gran mayoría, en soluciones analógicas.

El ruido es tan exponencial al tamaño de la organización como enemigo de su correcta gestión.

Caída de servidores de Facebook

La historia reciente es muy ilustrativa. Facebook, sin ir más lejos, ha sido protagonista de un incidente que perdurará en la memoria colectiva durante un tiempo.

Un despropósito técnico dejó sin servicio a Facebook, Instagram y WhatsApp durante casi un día. Toda una tortura para sus más de 3.900 millones de usuarios. Una cíber crisis que se vio alimentada, además, por la tibia respuesta de la compañía en las horas más críticas.

Y es que las crisis de reputación, por lo general, piden siempre un punto de pausa, pero la realidad obliga a reflexionar y, sin solución de continuidad, a ejecutar.

Probablemente ni el mejor plan de contingencia podría haberles salvado de la quema. Cierto. Pero ¿cabía una mejor forma de gestionar la comunicación en ese momento?

Basta recordar que esta eventualidad se saldó con una pérdida bursátil de 5.000 millones de dólares, centavo arriba, centavo abajo.

Un plan de gestión comunicación ante una cíber crisis ha de ser un instrumento versátil. Transversal y flexible. Un mapa detallado de actuaciones en diferentes ámbitos y múltiples niveles.

Una herramienta que combine elementos analógicos ampliamente teorizados y otros de nueva generación marcados por una acelerada innovación; la emergencia casi constante de nuevas plataformas y soluciones tecnológicas y condicionados por cambios comportamentales en los stakeholders y en la demanda que estos hacen de información.

Es más que una declaración de buenas intenciones. Es «armarse para la guerra».

Siguiendo la diferenciación de escenarios en los que se debe actuar ante una cíber crisis, el propio CCN-CERT diferencia entre la respuesta operativa (técnica) al incidente y la estratégica. Es en este último ámbito donde la comunicación adquiere su máxima relevancia.

El portavoz

Ante un escenario crítico se ha de designar un portavoz creíble, transparente y con actitudes y aptitudes suficientes como para afrontar el paredón al que va a ser sometido.

Esta portavocía puede estar protagonizada por múltiples actores hábiles en los diferentes canales de comunicación de la organización. Y es que no es lo mismo escribir tuits que emitir un comunicado a accionistas, pero siempre, siempre, bajo un mando único. Bajo una directriz clara de qué, cómo y a quien comunicar.

El equilibrio se ha de constatar desde el minuto cero pese al diferente cariz que puedan adquirir las interlocuciones.

Bien es sabido que su rol no finaliza aquí. Ha de ser tan buen estratega comunicativo como pieza angular en la organización, impidiendo así la generación de distancia entre la dirección general, y lo que en esta se esté barajando, y su labor. Respecto a su responsabilidad, internamente, no puede haber ruido.

El mandamiento de la existencia de un portavoz único deviene de tiempos analógicos, pero su papel es radicalmente diferente en esta era, tanto por lo que tiene que saber, como por lo que tiene que hacer.

Variables como la arquitectura de la participación o la descentralización consustancial a Internet transforman por completo la forma de comunicar.

El viaje hoy es horizontal, no vertical.

La respuesta

Otro mantra que deviene de la era analógica es la transparencia: no mientas. Jamás mientas. La mentira tiene las patas muy cortas. Siempre ha sido así, pero en el ámbito digital los actores ávidos de verificar una historia se encuentran por doquier. No facilites otra crisis.

Es preferible mostrarse imperfecto, reconocer errores. La honestidad y la integridad son valores emergentes. La transparencia y el rigor se han mostrado eficientes en la recuperación de la confianza. Asume tus responsabilidades.

Si tradicionalmente la gestión de crisis ha estado protagonizada por una buena dosis de silencios (no quiere decir que no estuvieran medidos o que no fueran oportunos), el mutismo o la inacción en el entorno digital puede ser un gran error.

La transparencia también lleva implícita comunicación y mantener la actividad en los momentos críticos evidencia fiabilidad.

Ser abiertos también puede derivar en críticas instantáneas, pero el corto plazo es fugaz y la recompensa final en nuestra credibilidad y reputación representará un tangible mucho mayor.

El discurso único también ha de estar modulado en el tiempo. Se ha de prever un tiempo de respuesta óptimo ante las diferentes necesidades comunicativas que se puedan dar a una cíber crisis.

Los canales de comunicación

Conoce y utiliza todos los canales que se encuentren a tu disposición en función de la dimensión del incidente y de su gravedad. Foros, webs informativas, chatbots, servicios de call center, canales corporativos… Ten en cuenta los diferentes stakeholders susceptibles de demandar información y pónselo fácil.

Las crisis no se eluden, se lideran.

No se trata de hablar por hablar, sino de estar disponible. De no apagar la luz. El mejor escenario en el que te puedes ver inmerso en una cíber crisis es que la información provenga de tu organización.

El mensaje

No es necesario dar detalles del incidente, mucho menos en fases en que esta información no debe ser difundida. Y es que puede que ni seamos conscientes aun de su magnitud, sino de tener consciencia de cuáles son las vulnerabilidades de nuestra organización, el mapa de stakeholders y las diferentes estrategias de información con estos.

Debemos conocer nuestros puntos débiles mejor que aquellos que, eventualmente, pueden tratar de menoscabar nuestra integridad y disponer de los mensajes necesarios previamente diseñados.

También ser conscientes de las expectativas a cubrir por parte de los que legítimamente, o no, nos demanden información.

Y de nuevo en este ámbito, el entorno digital amplía las variables a considerar. La ubicuidad de los canales de comunicación y la relevancia de los actores civiles en tanto generadores de opinión pública hace que nuestro espectro de comunicaciones se deba ampliar, y adaptar, a una mayor variedad de mensajes y canales posibles.

Entender la imposibilidad de controlar el recorrido que va a hacer el mensaje una vez emitido es también una variable a tener en cuenta en la gestión de incidencias digitales.

La preparación ante una ciber crisis

La gestión de crisis tradicional ha contado con un aliado indiscutible, la realización de simulacros periódicos ante eventuales crisis previamente catalogadas.

Sin embargo, en el mundo digital esta práctica no es una obligación. Ausencia que seguramente se barrerá a base de imprudencias, trabajos que tratan de advertir que esto va más allá de un catálogo de buenas intenciones y algún golpe legislativo que otro sobre la mesa.

Ataques con ransomware, filtraciones de datos, fraude interno… El objetivo de los simulacros no es otro que la prevención. Las crisis se preparan en tiempos de calma.

Debemos poner a prueba los sistemas, los equipos, los procedimientos, las diferentes configuraciones y nuestros propios planes de actuación.

Debemos entrenar a las personas. El factor humano será, en última instancia, el encargado de accionar cada fase, será quien devuelva la situación la normalidad. Su trabajo ha de estar pautado y ensamblado.

En este escenario, la inteligencia se presentan como un arma de enorme utilidad para encarar los retos de una era radicalmente distinta y disruptiva.

Simulaciones operativas, ejercicios table top, activaciones del comité de crisis… Ponernos a prueba es la mejor forma de identificar y medir con claridad nuestras vulnerabilidades.

Y medir, en seguridad, se traduce en capacidad de gestionar.

Descubre nuestro trabajo y nuestros servicios de ciberinteligencia en www.tarlogic.com