Gestión de personas
Adicionalmente, a lo que comentábamos en nuestro artículo anterior, parece relevante no olvidarse de la gestión de las personas en situaciones de esta índole, por lo tanto, incorporar en el equipo de gestión de crisis un perfil al efecto genera una aportación de valor importante.
Concretamente, en mi opinión, es conveniente cubrir al menos los aspectos de:
(1) Comunicación interna: un especialista en gestión de personas se encarga de comunicarse con los empleados de manera clara y efectiva sobre el incidente de seguridad, brindando información actualizada y orientación sobre las medidas a tomar. Esto ayuda a mantener a los empleados informados, reducir la incertidumbre y proporciona un sentido de dirección y toma de control de la situación;
(2) Apoyo emocional: durante un incidente de seguridad, los empleados pueden experimentar estrés, ansiedad o preocupación. Un especialista en gestión de personas puede brindar apoyo emocional a los empleados, asegurándose de que se sientan escuchados y comprendidos. Esto puede incluir la provisión de recursos de apoyo psicológico, como sesiones de asesoramiento o programas de bienestar;
(3) Gestión de recursos humanos: un especialista en gestión de personas debe colaborar con el equipo de recursos humanos para abordar cualquier impacto en las políticas o procedimientos relacionados con los empleados. Esto puede incluir la revisión y adaptación de políticas de seguridad de la información, implementación de medidas adicionales de seguridad para proteger a los empleados y asegurarse de que se cumplan los requisitos legales y normativos en términos de privacidad y protección de datos; y
(4) Coordinación de equipos: durante un incidente de seguridad, pueden ser necesarios equipos adicionales o asignación de tareas específicas a diferentes empleados, un especialista en gestión de personas puede ayudar a coordinar y asignar recursos humanos de manera efectiva, asegurándose de que haya personal adecuado disponible para responder a las necesidades operativas y de gestión de incidentes.
Por lo tanto, la gestión de personas durante un incidente de seguridad es esencial para asegurar el bienestar de los empleados y mantener una operación efectiva de la organización. Contar con un especialista en gestión de personas en el comité de crisis ayuda a abordar estas necesidades y garantizar que los empleados sean debidamente atendidos durante la situación de crisis.
¿Qué tienen en común los sonados casos de ciberincidentes que han sufrido compañías como, por ejemplo, Equifax (2017), Yahoo (2016), Target (2013), Adobe (2013), Slack (2015), GitHub (2016), Telefónica (2017 y 2020), BBVA (2018), British Airways (2018), con lo que le ocurrió a Johnson & Johnson (1982)?
Concretamente y cómo ejemplo, para los ciber casos de Equifax (2017) o Target (2013), si se profundiza en el estudio de la información pública de los casos, se puede concluir que una de las lecciones aprendidas sería, entre otras, que en el primer caso habría que haber designado un portavoz oficial para garantizar la consistencia y claridad del mensaje y que había que haber proporcionado recursos y asistencia a los afectados para afrontar la crisis, mientras que en el segundo caso, pese a ser anterior en el tiempo y haber elogiado la estrategia de comunicación del incidente, se podía haber realizado alguna actividad relacionada con la empatía y preocupación por los afectados, brindándoles recursos y asistencia para ayudar a mitigar el impacto. Ambos casos, considerados como bien y mal ejecutados desde el punto de vista de la comunicación, coinciden en que deberían haber abordado la gestión de las personas (empleados fundamentalmente) como una faceta importante.
Procesos de mejora
Mejorar el proceso de comunicación durante una crisis cibernética puede hacerse mediante, por ejemplo:
(1) Realizar simulacros y ejercicios de entrenamiento periódicos para preparar al equipo de gestión de incidentes y mejorar su capacidad de comunicación;
(2) Establecer protocolos claros y flujos de trabajo para la comunicación interna y externa durante una crisis;
(3) Fomentar una cultura de transparencia y honestidad en la comunicación organizacional en todo momento, no solo durante una crisis;
(4) Utilizar canales de comunicación múltiples y diversos para alcanzar a los diferentes stakeholders de manera efectiva, y
(5) Evaluar y revisar constantemente el plan de comunicación de crisis para garantizar su efectividad y adaptarlo a los cambios del entorno.
Sirva como ejemplo el caso Telefónica y sus incidentes de 2017 y 2020, que aunque con orígenes diferentes, se puede observar una clara mejoría en el aspecto de comunicación hacia los stakehokders, informando, en 2020, inmediatamente a los usuarios afectados, proporcionándoles detalles sobre el origen de la brecha y las soluciones que estaban aplicando para mitigar los impactos, añadiendo, y esto también es un factor diferencial, asesoramiento claro a sus clientes sobre las medidas que ellos podían aplicar para proteger su información.
Por lo tanto, el profesional de la comunicación en un comité de crisis desempeña un papel central en el manejo de la comunicación durante una crisis cibernética. Su experiencia en relaciones públicas, manejo de crisis y comunicación efectiva es crucial para transmitir información clara, precisa y oportuna a los stakeholders internos y externos.
Además, y esto es lo más relevante en mi opinión, debe trabajar en estrecha colaboración con el equipo de gestión de personas para abordar las preocupaciones de los empleados y mantener una comunicación interna efectiva, incluso incorporando un perfil de este tipo en el comité.
Más importante de lo que pueda parecer
La gestión de personas juega un papel fundamental durante una crisis, también en las de origen cibernético, precisamente por ese halo de incertidumbre que las rodea. Enfrentarse a lo desconocido, o con mucha incertidumbre, por muy planificado que esté, es una de las peores situaciones que puede afrontar una persona. Los empleados pueden experimentar preocupación, incertidumbre y estrés durante estos eventos, lo que se traduce generalmente en factores negativos a la hora de afrontarlos.
Es esencial, en mi opinión, abordar adecuadamente estas cuestiones y contar con el apoyo de un especialista en gestión de personas en el comité de crisis. Su presencia garantiza una comunicación interna efectiva, brinda recursos de apoyo emocional a los empleados y coordina los recursos humanos necesarios para responder a la crisis.
En conclusión, la comunicación efectiva y la gestión de personas son elementos primordiales y estrechamente ligados en el manejo de una crisis cibernética para contribuir a preservar la reputación empresarial y la salud emocional de las personas. Los casos acaecidos de buena y mala gestión de comunicación nos brindan lecciones valiosas sobre la importancia de una comunicación clara, oportuna y transparente.
Reconociendo la relevancia de los profesionales de la comunicación y la gestión de personas, las empresas pueden estar mejor preparadas para enfrentar y superar los desafíos que surgen en momentos críticos.
Para aprender todo lo que necesitas para desarrollar planes efectivos, ten en cuenta nuestro Máster Profesional en Dirección de Ciberseguridad, Hacking Ético y Seguridad Ofensiva.
