Una brecha de datos ya no es un evento técnico 

Durante mucho tiempo los incidentes de seguridad se analizaron como fallos de sistemas. Algo que debía resolverse entre equipos de TI y proveedores, con foco en restaurar servicios y cerrar vulnerabilidades. Hoy esa mirada quedó corta. Una brecha de datos es un hecho corporativo con impacto legal, reputacional y estratégico. Cuando ocurre, deja de ser un problema operativo y se convierte en una conversación que llega directamente a la mesa del directorio. 

En la práctica, lo primero que se rompe no es la tecnología, es la operación. Una brecha introduce múltiples frentes simultáneos: hay que contener el daño, estabilizar los sistemas, entender qué ocurrió y, sobre todo, corregir la forma en que la operación funciona para evitar que el evento se repita. Las lecciones aprendidas dejan de ser un documento de cierre y pasan a ser un insumo crítico para rediseñar procesos, responsabilidades y controles. Cuando eso no ocurre, el incidente queda latente, esperando el próximo error. 

En noviembre de 2025, Iberia informó un incidente de seguridad originado en uno de sus proveedores. Quedaron expuestos nombres, correos electrónicos y datos de contacto de clientes. La reacción fue inmediata: se activaron protocolos, se reforzaron los controles asociados a cambios de cuenta y se incrementó la vigilancia de los sistemas. En el contexto europeo, este tipo de respuestas no sorprende. Existen mecanismos maduros, responsabilidades claras y una comprensión profunda del riesgo regulatorio y reputacional que implica una filtración de datos personales. 

Si trasladamos ese mismo escenario a gran parte de Latinoamérica, el recorrido suele ser más complejo. La comunicación interna se fragmenta, las áreas técnicas y legales avanzan a ritmos distintos y la presión por volver rápidamente a operación empieza a dominar la conversación. En muchos casos, la dirección asume que es TI quien debe “resolver el problema”, mientras el negocio exige continuidad sin haber resuelto aún las causas de fondo. El incidente técnico es solo el inicio; lo que sigue es una cadena de decisiones que define el verdadero impacto para la organización.  

Aquí se hace evidente una diferencia clave entre organizaciones maduras e inmaduras. En empresas con mayor nivel de madurez, negocio, legal y seguridad actúan bajo protocolos propios, claros y previamente acordados, y se articulan entre sí incluso bajo presión. En organizaciones inmaduras ocurre lo contrario: el negocio empuja por continuidad inmediata, seguridad intenta corregir en medio del caos y, en los casos más críticos, la energía se centra en encontrar culpables. Esa búsqueda no reduce el riesgo, lo multiplica, porque erosiona la confianza interna y oculta fallas estructurales de la operación. 

Lo mismo ocurre con el riesgo de terceros. En organizaciones maduras, el riesgo de proveedores se asume como propio y se gestiona en consecuencia. Los proveedores críticos están obligados a cumplir normas y políticas de seguridad alineadas con la organización, no como un requisito contractual aislado, sino como parte integral del modelo de riesgo. En empresas menos maduras, el incidente se interpreta como “no fue culpa nuestra”, una postura que puede aliviar responsabilidades internas a corto plazo, pero que amplifica el impacto legal y reputacional hacia afuera. 

Otro punto crítico es la comunicación. El temor del público en general no surge solo por la brecha en sí, sino por la falta de claridad y transparencia al comunicarla. Mensajes ambiguos, silencios prolongados o explicaciones excesivamente técnicas generan desconfianza incluso cuando el impacto real fue acotado. En un incidente, la narrativa importa tanto como la contención técnica. Y esa narrativa no puede improvisarse. 

Por eso hoy los incidentes de seguridad son, sin discusión, un tema de board-level conversation.

No se trata de saber qué control falló, sino de entender cómo una organización responde bajo presión, cómo prioriza continuidad sin aumentar el riesgo y cómo asume responsabilidades frente a clientes, reguladores y socios. Las organizaciones que ya incorporaron esta visión no esperan a la próxima brecha para coordinarse. Discuten escenarios, definen roles, entrenan decisiones y alinean mensajes antes de que ocurra el incidente. 

En Trustive creemos que esta conversación no puede darse en aislamiento. Compartir experiencias reales entre CISOs, contrastar cómo se gestionan los incidentes en distintas regiones y aprender de errores ajenos es una forma concreta de reducir riesgos propios. La gestión de incidentes ya no se juega en el plano técnico. Se juega en la capacidad de tomar decisiones coherentes cuando la operación, la reputación y el negocio están en juego. Esa es la conversación que hoy vale la pena tener.