Qué hacer el día del incidente: plan de respuesta para empresas sin equipo de seguridad
Resume este artículo con tu IA
Qué hacer el día del incidente: comité de crisis, primeros 60 minutos y simulacro. Un plan corto con el que tu equipo actúa en minutos desde el primer aviso.
El día del incidente, la primera decisión es de negocio
La madrugada de un incidente real tiene información incompleta, varios proveedores opinando y una decisión encima de la mesa: aislar y asumir una parada acotada, o mantener el servicio mientras se investiga.
Esa decisión se toma bien y rápido cuando está escrito quién la toma y con qué criterio. Dejarlo definido en frío es un trabajo de una tarde que ahorra horas en el momento que más valen.
Un plan corto que el equipo conoce resuelve la mayor parte de lo que ocurre
Las seis piezas que conviene tener:
- Comité de crisis con nombres y suplentes, y criterios explícitos para decidir una desconexión. Quien decide debe poder autorizar una parada.
- Árbol de llamadas fuera de los sistemas de la empresa. Teléfonos personales, un canal alternativo acordado y una copia impresa, para que funcione en cualquier escenario.
- Plantillas ya redactadas para clientes, empleados, autoridad competente y, si procede, medios. Escritas en frío salen mejor y protegen jurídicamente.
- Contactos del equipo forense y condiciones de activación.
- Contacto de la aseguradora, con una indicación destacada: la mayoría de las pólizas piden notificar antes de manipular los sistemas, y avisar primero mantiene la cobertura intacta.
- Criterios de notificación regulatoria, con quién redacta, quién firma y en qué plazo.
Los primeros sesenta minutos marcan buena parte del resultado
Una secuencia sencilla, escrita para que la pueda seguir alguien que no es especialista:
- Minutos 0-15. Confirmar que es real. Activar al comité. Conservar los sistemas tal cual están, porque ahí está la evidencia que después acorta la investigación.
- Minutos 15-30. Aislar lo comprometido de la red manteniéndolo encendido. Bloquear cuentas afectadas. Avisar al proveedor de seguridad y a la aseguradora.
- Minutos 30-60. Determinar alcance preliminar, decidir sobre la operación y lanzar la primera comunicación interna, aunque sea para informar de que se está investigando.
Aislar en lugar de apagar conserva la información que permite saber qué ocurrió, y eso se traduce en una recuperación más corta y en una notificación mejor fundamentada.
El simulacro de mesa es el ejercicio con mejor relación entre coste y aprendizaje
Dos horas, una sala, un escenario realista y las personas que tomarían las decisiones, dirección incluida. Sin tocar ningún sistema.
Lo que aporta el primer simulacro es siempre valioso: aclara quién autoriza la parada, completa la lista de teléfonos, incorpora al seguro en el circuito y define el reparto con el proveedor de IT. Dos horas en una sala resuelven lo que de otro modo se resolvería sobre la marcha.
Conocer tu tiempo real de recuperación mejora todas las demás decisiones
El dato útil es el medido: cuánto se tarda de verdad en restaurar cada servicio crítico desde copia, con el personal disponible un domingo.
Ese número se traduce en días de operación y, por tanto, en euros, y permite dimensionar con criterio tanto la inversión en seguridad como la póliza.
Criterio de verificación: habéis hecho un simulacro en los últimos doce meses y conocéis el tiempo real de recuperación de cada servicio crítico.
Alguien con autoridad para decidir sobre la operación, normalmente dirección general o de operaciones. El responsable de IT coordina la parte técnica, que es donde su criterio aporta más.
Sí, y decidirla en frío con dirección y con la aseguradora. En la práctica, la recuperación suele avanzar más por la vía de las copias y del forense, así que tener la postura fijada mantiene el foco donde rinde.
Se activa igual. La cláusula de notificación en el contrato es lo que asegura que la información llegue a tiempo para poder responder.
