Brechas de datos corporativas: del incidente a la respuesta

Las brechas de datos se cuentan, casi siempre, por su tamaño: 131 millones de afectados en Marriott, 147 en Equifax. Esa cifra es real y grave, pero es también la parte menos informativa para quien tiene que evaluar el riesgo de una empresa. Porque sufrir un incidente, en un mundo de ciberataques constantes, le puede pasar a cualquiera. Lo que distingue a una compañía de otra no es haber sido atacada, sino cómo respondió. Este rastreo está construido alrededor de esa segunda pregunta.

Por eso el campo central no es el número de afectados, sino la conducta de notificación: si la empresa avisó a tiempo a los afectados y al regulador, si tardó, o si directamente lo ocultó. Son categorías con consecuencias legales muy distintas. Notificar con retraso agrava la sanción en casi todos los marcos; ocultar una brecha puede convertir un incidente técnico en un caso de responsabilidad penal de los directivos, como ilustra el escrutinio sobre Clearview AI.

Por qué es una herramienta de debida diligencia

Para un CISO, una aseguradora de ciberriesgo, un despacho o un equipo de compliance que evalúa a un proveedor o a un objetivo de adquisición, este rastreo responde la pregunta que de verdad importa: ¿cómo se comporta esta empresa cuando las cosas salen mal? Una compañía que notificó a tiempo y cooperó con el regulador es un riesgo muy distinto de una que ocultó el incidente durante meses, aunque el número de registros expuestos sea idéntico. El historial de conducta es predictivo de un modo que el tamaño del incidente no lo es.

El caso de Equifax muestra además la cola larga de estos eventos: la brecha de 2017 sigue generando obligaciones que aparecen como factor de riesgo en sus registros ante la SEC casi una década después. Una brecha no se cierra cuando se paga la multa; deja una huella en la gobernanza de la empresa que el rastreo permite seguir en el tiempo. Esa trazabilidad —empresa, conducta, desenlace, fecha— es exactamente lo que convierte una sucesión de titulares en un activo de inteligencia.