Un ciberataque no es solo un problema tecnológico. En cuanto afecta a clientes, empleados, proveedores, medios o administraciones, se convierte también en una crisis de comunicación y reputación corporativa.
Esta fue una de las principales conclusiones de la mesa redonda «El primer minuto tras un ciberataque», celebrada en el Club Cámara Antares de Sevilla, en la que participó Andrés Ortiz Moyano, CEO de AOM Comunicación y Marketing, aportando la perspectiva de la comunicación corporativa y la gestión reputacional.
La cuestión clave no es únicamente cómo contener el ataque, sino cómo comunicar cuando la organización todavía no dispone de toda la información.
¿Qué debe comunicar una empresa tras un ciberataque?
La comunicación tras un ciberataque debe apoyarse en hechos confirmados.
En los primeros momentos es habitual desconocer el alcance completo del incidente. Sin embargo, clientes, empleados, medios y otros grupos de interés pueden empezar a exigir respuestas inmediatamente.
La empresa no necesita tener todas las respuestas para comunicar. Necesita saber qué puede confirmar, qué está investigando y cuándo podrá ampliar la información. En este escenario, el papel de la dirección resulta decisivo y obliga a definir con claridad qué debe hacer un CEO ante una crisis de comunicación.
Improvisar hipótesis o trasladar datos no contrastados puede aumentar considerablemente el impacto reputacional de la crisis.
Cómo proteger la reputación durante una crisis tecnológica
La reputación se deteriora especialmente cuando existe una percepción de falta de control, aparecen contradicciones o se genera un vacío informativo.
Por eso, durante una crisis de ciberseguridad deben coordinarse desde el primer momento dirección, tecnología, asesoría jurídica y comunicación.
Como señaló Andrés Ortiz Moyano durante la jornada:
«Contener un ataque es imprescindible. Pero no es suficiente.»
El incidente puede resolverse técnicamente mientras sus consecuencias siguen afectando a la confianza en la organización. Y en entornos digitales, saber cómo proteger la reputación online durante una crisis tecnológica forma parte de la propia respuesta empresarial.
¿Cuándo debe comunicar una empresa después de un ciberataque?
Esperar a conocer absolutamente todos los detalles puede generar un vacío que termine siendo ocupado por rumores, filtraciones o interpretaciones externas.
Pero comunicar demasiado pronto sin información verificada también puede agravar la situación.
La clave está en una comunicación progresiva: confirmar aquello que se conoce, explicar qué medidas se están adoptando y establecer cuándo se ofrecerán nuevas actualizaciones.
Rapidez no significa improvisación. Significa capacidad para decidir y comunicar con rigor bajo presión.
El CEO y la dirección ante una crisis reputacional
Una crisis de este tipo no puede quedar exclusivamente en manos del departamento tecnológico.
La alta dirección debe asegurar que existe un criterio único, que cada área conoce su responsabilidad y que la organización mantiene coherencia entre lo que hace y lo que comunica.
La capacidad del equipo directivo para sostener la toma de decisiones es parte esencial de una buena gestión de crisis para CEOs, especialmente cuando la presión externa y la incertidumbre interna crecen al mismo tiempo.
La comunicación de crisis debe prepararse antes del incidente
Una de las conclusiones centrales de la mesa redonda fue que la coordinación no puede diseñarse cuando la crisis ya está en marcha.
Las organizaciones necesitan contar previamente con un plan de comunicación de crisis, portavoces preparados, procedimientos para validar información y canales internos y externos definidos.
Tener un documento no significa estar preparado.
La verdadera preparación consiste en que las personas responsables sepan qué decidir, qué comunicar y cómo coordinarse cuando existe presión e incertidumbre.
Comunicación, reputación y ciberresiliencia
La jornada permitió abordar una crisis de ciberseguridad desde todas las perspectivas que intervienen cuando una organización debe reaccionar bajo presión. Junto a Andrés Ortiz Moyano participaron Natalia Sosa Rosales, de OCA Global; Adrián Feliú González, de Riskmedia Group; y Antonio Gil, de Softcom, con la moderación de Lola Carranza, directora del Área de Derecho Digital y Negocios Tecnológicos de Montero Aramburu & Gómez-Villares Atencia.
Ciberseguridad, continuidad de negocio, derecho, comunicación y reputación convergieron en una misma conclusión: un ciberataque debe gestionarse como un problema de negocio, no únicamente como una incidencia tecnológica.
Esa visión integral es también la base de nuestro trabajo en reputación corporativa y gestión de crisis, ayudando a las organizaciones a anticipar escenarios, proteger la confianza de sus públicos y responder con criterio cuando la exposición reputacional aumenta.
