Cuando ocurre un incidente de ciberseguridad, las primeras decisiones pueden condicionar su impacto. Bloquear una cuenta, desconectar un equipo o preservar determinados registros puede ayudar. Actuar impulsivamente también puede destruir información útil o extender la interrupción.
Una pequeña empresa no necesita comenzar con un manual de cientos de páginas. Puede preparar un plan breve que establezca responsables, contactos y acciones iniciales.
¿Qué se considera un incidente?
Un incidente es un evento que compromete o amenaza la confidencialidad, integridad o disponibilidad de los sistemas y datos.
Algunos ejemplos son:
- Robo de una cuenta de correo.
- Infección por malware.
- Cifrado de archivos por ransomware.
- Pérdida de un dispositivo empresarial.
- Acceso no autorizado a una web.
- Envío de datos al destinatario equivocado.
- Caída provocada por una acción maliciosa.
El plan debería utilizar criterios comprensibles para que los empleados sepan cuándo informar, aunque todavía no conozcan la causa.
Define un canal para comunicar sospechas
El equipo necesita saber a quién avisar y cómo hacerlo. Si la cuenta de correo está comprometida, comunicarlo mediante ese mismo correo puede no ser suficiente.
Conviene disponer de un canal alternativo, como un número de teléfono, y explicar qué información debe facilitarse:
- Qué ha ocurrido.
- Cuándo se observó.
- Qué dispositivo o cuenta está afectado.
- Qué acciones se realizaron.
- Si existen capturas, mensajes o alertas.
La cultura debe favorecer el aviso temprano. Castigar a quien informa de un error puede provocar que futuros incidentes se oculten.
Asigna responsabilidades
Incluso en una microempresa debe existir una persona que coordine la respuesta. No necesita resolver técnicamente todo, pero sí recopilar información, contactar con los proveedores y registrar las decisiones.
El plan debería identificar:
- Responsable interno.
- Proveedor informático o de seguridad.
- Contacto del alojamiento y correo.
- Responsable de comunicación.
- Asesoramiento legal o de protección de datos cuando proceda.
Los contactos deben mantenerse fuera de los sistemas que podrían quedar inaccesibles.
Clasifica la gravedad
No todos los eventos requieren la misma respuesta. Una clasificación sencilla ayuda a priorizar.
Incidente bajo
Afecta a un usuario o función no crítica y no existen indicios de propagación o pérdida de datos.
Incidente medio
Interrumpe una parte del negocio, afecta a varias cuentas o requiere asistencia externa.
Incidente alto
Compromete sistemas críticos, datos sensibles, múltiples equipos o la continuidad de la actividad.
La clasificación puede cambiar conforme aparezca información nueva. Es preferible elevar temporalmente la prioridad que ignorar señales importantes.
Contén sin destruir evidencias
Contener significa limitar el alcance. Puede requerir deshabilitar una cuenta, aislar un equipo o bloquear un acceso.
No obstante, acciones como formatear inmediatamente un dispositivo, borrar correos o reinstalar una web pueden eliminar registros necesarios para comprender lo sucedido.
Antes de actuar, cuando sea viable:
- Anota la hora y los síntomas.
- Realiza capturas de las alertas.
- Preserva registros y archivos.
- Identifica los sistemas relacionados.
- Consulta al responsable técnico.
Si existe un riesgo inmediato para otros sistemas, la contención tiene prioridad, pero debe documentarse.
Identifica la causa y el alcance
Recuperar un sistema sin corregir la vía de entrada puede permitir que el incidente se repita.
La investigación debe intentar determinar:
- Cómo se produjo el acceso.
- Qué cuentas y dispositivos se utilizaron.
- Qué acciones realizó el atacante.
- Qué datos pudieron verse afectados.
- Si existen otros accesos persistentes.
No siempre será posible responder inmediatamente. El plan debe permitir actualizar la evaluación a medida que se obtienen evidencias.
Recupera por orden de prioridad
La recuperación debe comenzar por los servicios esenciales para el negocio. Antes de restaurarlos hay que comprobar que las credenciales expuestas han sido sustituidas y la causa se ha corregido.
Una secuencia básica puede ser:
- Eliminar o aislar la causa.
- Cambiar las credenciales afectadas.
- Revisar usuarios y permisos.
- Restaurar desde una copia fiable.
- Actualizar y reforzar los sistemas.
- Comprobar el funcionamiento.
- Aumentar temporalmente la supervisión.
Planifica la comunicación
Un incidente puede requerir informar a empleados, clientes, proveedores o autoridades, según su naturaleza y las obligaciones aplicables.
La comunicación debería ser precisa y evitar especulaciones. Conviene distinguir entre hechos confirmados, aspectos en investigación y medidas adoptadas.
No deben publicarse detalles técnicos que faciliten nuevos abusos mientras el incidente continúa activo.
Registra y aprende
Después de recuperar la actividad, la empresa debería revisar qué funcionó y qué falló.
El informe interno puede recoger:
- Cronología del incidente.
- Sistemas afectados.
- Decisiones tomadas.
- Tiempo de recuperación.
- Controles que deben mejorarse.
- Responsables y fechas de las acciones pendientes.
El objetivo no es buscar culpables, sino evitar que la misma situación se repita.
Conclusión
Un plan básico aporta orden cuando la empresa está bajo presión. Definir responsables, contactos y prioridades permite reaccionar con mayor rapidez y conservar información importante.
