Cuando estalla un incidente de seguridad, la empresa descubre que debe responder a tres públicos al mismo tiempo, y cada uno exige algo diferente. La ANPD (Autoridad Nacional de Protección de Datos de Brasil) quiere saber qué pasó, qué datos fueron afectados y qué se hizo, en un plazo corto. La aseguradora quiere evidencia técnica antes de pagar la póliza cibernética. Y los titulares, clientes y exfuncionarios quieren saber si pueden demandar. Las tres respuestas dependen del mismo insumo: un hecho técnicamente demostrado. Es aquí donde entra la pericia forense, y casi siempre entra tarde.
La LGPD dibuja el escenario. El art. 48 de la ley obliga al controlador a comunicar a la ANPD y al titular la ocurrencia de un incidente de seguridad que pueda acarrear riesgo o daño relevante. La reglamentación de la autoridad fijó el plazo de 3 días hábiles para esa comunicación, con descripción de la naturaleza de los datos afectados, de los titulares involucrados, de las medidas adoptadas y de los riesgos. Tres días hábiles es muy poco tiempo para quien no preservó nada en las primeras horas.
Incidente no es sinónimo de filtración
La primera contribución de la pericia es delimitar el hecho. Una alerta de acceso anómalo no es invasión; invasión no es exfiltración; exfiltración no es exposición pública. Cada escalón cambia la obligación legal y el tamaño del daño. El examen forense reconstruye la línea de tiempo del incidente sobre los registros preservados: por dónde entró el acceso, qué sistemas tocó, qué copió, hacia dónde envió. Sin esa reconstrucción, la empresa comunica a ciegas: subnotifica, y responde por omisión; o sobrenotifica, y paga el costo reputacional de una filtración que tal vez no existió.
Cuándo llamar a la pericia
La respuesta honesta es: antes de tocar cualquier cosa. Las señales que justifican la activación inmediata incluyen alertas de exfiltración o tráfico anómalo, ransomware en ejecución o ya ejecutado, compromiso del correo corporativo (la estafa BEC, que desvía pagos mediante casillas invadidas), extorsión con muestra de datos y el descubrimiento de datos de la empresa en venta o publicados. En todos esos escenarios, la misma regla: el equipo de TI resuelve el incidente; no preserva la prueba. Son funciones diferentes, con gestos opuestos.
"Restaurar el backup borra el rastro del invasor. La empresa que solo piensa en volver a operar suele destruir, el primer día, la prueba que necesitará durante años."
El error clásico tiene siempre la misma anatomía: formatear la máquina comprometida, restaurar el entorno, cambiar las contraseñas y seguir adelante. Operacionalmente correcto, probatoriamente desastroso. Desaparece el vestigio del origen del acceso, desaparece la extensión real de la copia, desaparece la posibilidad de demostrar que los datos sensibles no fueron afectados. Meses después, en la fiscalización de la ANPD o en la acción indemnizatoria promovida por los titulares, la empresa no logra probar ni lo que la favorece.
Lo que el examen entrega en cada frente
Preservados los vestigios, con imagen forense, copia autenticada de logs y cadena de custodia documentada, el dictamen alimenta cada frente con lo que exige. Para la ANPD: la descripción técnica del incidente, la delimitación de los datos y titulares afectados y la demostración de las medidas de seguridad preexistentes, que el art. 46 de la LGPD exige y la autoridad pondera en la dosimetría de la sanción. Para la aseguradora: el nexo entre el evento y la póliza, con evidencia de método que la auditoría de la aseguradora acepta. Para el contencioso: la prueba de extensión, que separa la indemnización debida de la especulación, y que sustenta una eventual acción de repetición contra el proveedor cuya falla abrió la puerta.
Hay además el frente interno. Una parte relevante de los incidentes tiene participación desde adentro, deliberada o negligente. El mismo examen que reconstruye el ataque identifica la cuenta de origen, el patrón de acceso y la eventual entrega de credenciales, con las consecuencias laborales y penales correspondientes.
Lo que la autoridad pondera cuando fiscaliza
El reglamento de dosimetría de la ANPD gradúa las sanciones según la gravedad, la buena fe y la conducta del infractor, y dos factores pesan a favor de la empresa diligente: la comprobación de que se adoptaban medidas de seguridad antes del incidente y la pronta adopción de providencias después de él. Los dos se prueban con documento técnico. El dictamen que demuestra los controles existentes, reconstruye el incidente y registra la respuesta en línea de tiempo transforma la narrativa de la empresa en evidencia verificable. Sin él, la misma narrativa es apenas una alegación de parte interesada, y una alegación de parte interesada, en una fiscalización, vale poco.
Ransomware: la prueba más allá del rescate
En el ransomware, la tentación de resolver rápido es máxima y el daño probatorio también. Pagar o no pagar el rescate es una decisión de negocio y de riesgo jurídico; probar lo que ocurrió es una necesidad en cualquiera de los caminos. El cifrado de los archivos rara vez es el único evento: los grupos actuales exfiltran datos antes de cifrar, para extorsionar por partida doble. La pericia determina si hubo exfiltración, de qué bases y en qué volumen, lo que cambia por completo la obligación ante la LGPD: un incidente sin filtración de datos personales puede dispensar la comunicación; un incidente con exfiltración la exige, con el reloj de los 3 días hábiles corriendo. Restaurar el entorno sin preservar los vestigios significa tomar esa decisión jurídica a ciegas, y explicarla después sin ninguna evidencia.
El plan de 72 horas
La diferencia entre la empresa que atraviesa bien un incidente y la que se hunde en él se decide en conductas simples, definidas antes de la crisis:
- Aislar los sistemas afectados sin apagar ni formatear: el aislamiento preserva, el formateo destruye;
- Suspender las purgas automáticas de logs y backups del período;
- Involucrar al área jurídica y a un perito forense el primer día, no después de la comunicación a la ANPD;
- Preservar con hash antes de restaurar la operación;
- Documentar quién supo de qué, cuándo, por qué canal.
La LGPD transformó el incidente de datos en un evento jurídico con reloj corriendo. La respuesta técnica no es el apéndice de la respuesta jurídica; es su cimiento. Una comunicación sin hecho demostrado es una conjetura con papel membretado, y una conjetura, ante el regulador, la aseguradora y el juez, cuesta caro. Lo que sustenta las tres conversaciones es el mismo dictamen, y este solo existe si alguien preservó el vestigio cuando todavía había vestigio que preservar.
