Una crisis se entiende como cualquier circunstancia, deliberada o fortuita, ocasionada internamente o no, que produce un desequilibrio en una organización con su servicio con la consecuente pérdida económica o incumplimiento legal y que puede poner en peligro su viabilidad económica y/o futuro profesional. Se trata de una crisis provocada por un ciberataque o problema informático.
Ante una cibercrisis, debemos tener en cuenta tres elementos: la amenaza a la organización, el elemento sorpresa (imprevisible e inesperado) y el corto período de tiempo que se exige para la toma de decisiones.
Es preciso gestionar las amenazas o circunstancias antes, durante y después de que se produzcan, teniendo claro que no es necesario que exista un problema real para encontrarse en una situación de crisis. Basta con que cualquier rumor o evento trascienda a la opinión pública para que se acelere el proceso e incluso se propague por las redes sociales sin control, lo que provocaría el pánico y que la gestión de crisis se complique aún más.
La gestión de todo tipo de crisis es una disciplina que ha tenido un importante desarrollo en la última década y desde muy distintos campos, particularmente los relacionados con la Seguridad de la Información (SGSI) y la Comunicación. Al tratarse de situaciones de especial gravedad, que puede llegar a comprometer, no solo el funcionamiento de la organización, sino incluso su futuro, esta gestión ha pasado a ser cada vez más una capacidad imprescindible para un número creciente de organizaciones. Entre los muchos factores que han propiciado su desarrollo cabe destacar, entre otros, la mayor exigencia en cuanto a la prestación de servicio, el incremento de la responsabilidad social y el impacto potencial de las redes sociales sobre su reputación e imagen.
En este contexto, empieza a existir ya una base de conocimiento, de naturaleza heurística, que orienta en cuáles son los recursos más adecuados para que las organizaciones desarrollen esta capacidad y en las prácticas de gestión más aconsejables con el objetivo de afrontar con éxito crisis de cualquier tipo.
Toda cibercrisis implica una toma de decisiones bajo presión, con tiempo e información limitados y en diversos frentes en paralelo, y con muchos agentes y personas interviniendo. Con independencia del origen que cause la crisis, se hace patente la componente de gestión que su resolución implica. Para ello, la organización afectada necesita tener las capacidades y estructuras de gestión adecuadas que le permitan abordarla con garantías de éxito.
Por lo tanto, en toda cibercrisis se identifican dos esferas de actuación distintas:
- Operativa y de respuesta técnica al incidente: es la que tiene que ver con el motivo que la origina y cuyos efectos inmediatos deben ser contenidos y resueltos por un equipo de respuesta especializado.
- Organizativa y estratégica: es la medida en que su impacto afecta a diferentes ámbitos de la organización (servicio, operativa, imagen y reputación, relación con el regulador, grupos de interés, presencia en redes sociales, etc.) y requiere de una respuesta coordinada a alto nivel, determinando los canales de comunicación con otras unidades o entidades, propias y/o ajenas.
