Lección 14 de 16 · Nivel 4: Experto
Respuesta a incidentes paso a paso
- ⏱ 16 min de lectura
- ❓ 4 preguntas de repaso
- ✍️ Ejercicio con solución
- 📥 Plantilla descargable
En esta lección
- Distinguir un evento de un incidente y clasificar su severidad.
- Conocer el ciclo de respuesta y la guía NIST SP 800-61 Rev. 3, publicada en abril de 2025.
- Preparar un plan de respuesta de una página, con roles, contactos y guías por tipo de incidente.
- Contener, erradicar y recuperar sin destruir la evidencia.
- Comunicar, cumplir los plazos legales y convertir cada incidente en mejoras.
La hoja "Registro de incidentes" tiene las columnas que necesitas (detección, tipo, severidad, datos personales afectados, acciones, cierre) y calcula los días abiertos y el resumen por tipo y severidad.
- checklist-ciberseguridad.xlsx · hoja Registro de incidentes
Un incidente de seguridad es un evento que compromete, o amenaza con comprometer, la confidencialidad, la integridad o la disponibilidad de tu información. Cuando ocurre, el tiempo corre en tu contra y las decisiones se toman bajo presión: quién llama a quién, qué se apaga, qué se dice a los clientes, si hay que avisar a la autoridad. La respuesta a incidentes es el plan que respondió esas preguntas antes de que pasara algo. En esta lección armarás ese plan y lo verás en acción con un caso real de correo comprometido.
- Evento o incidente
- Preparación
- Detección y análisis
- Contener, erradicar, recuperar
- Comunicar y aprender
Evento, alerta o incidente
Un evento es cualquier cosa observable: un inicio de sesión, un correo recibido. Una alerta es un evento que una regla marcó como sospechoso. Un incidente es una alerta confirmada que afecta o amenaza la seguridad. No todo evento es un incidente, y declarar uno pone en marcha el plan, así que conviene tener criterios claros de severidad:
| Severidad | Criterio | Ejemplo | Respuesta |
|---|---|---|---|
| Baja | Afecta a una persona, sin datos sensibles ni interrupción | Un empleado hizo clic en un phishing pero no entregó datos | Atender en el día |
| Media | Afecta a un sistema o cuenta, contenible rápido | Un equipo con malware detectado y aislado | Atender en horas |
| Alta | Datos personales expuestos, cuenta privilegiada o fraude en curso | Correo de un gerente comprometido con reglas de reenvío | Inmediata, con dirección informada |
| Crítica | Interrumpe el negocio o afecta a muchos clientes | Ransomware en los servidores | Inmediata, todo el equipo y apoyo externo |
El ciclo de respuesta
La guía de referencia es la NIST SP 800-61. Su revisión 3, publicada en abril de 2025, reemplazó a la revisión 2 de 2012 y plantea la respuesta a incidentes como parte de toda la gestión del riesgo descrita en el CSF 2.0: la preparación se apoya en Gobernar, Identificar y Proteger; la respuesta en sí, en Detectar, Responder y Recuperar; y todo alimenta la mejora continua. Muchos equipos siguen organizando el trabajo con las cuatro fases clásicas de la revisión anterior, que siguen siendo una forma práctica de pensar:
- AntesPreparaciónPlan, roles, contactos, copias de seguridad, registros activos y guías por tipo de incidente. Es la fase que más determina el resultado.
- Al empezarDetección y análisisConfirmar que es un incidente, entender su alcance (qué sistemas, cuentas y datos) y asignar la severidad.
- DuranteContención, erradicación y recuperaciónFrenar el daño, eliminar la causa y volver a operar de forma segura, preservando la evidencia.
- DespuésActividades posterioresLecciones aprendidas sin buscar culpables, actualización del plan y de los controles.
Preparación: tu plan de una página
Un plan que nadie lee no sirve. Para una pyme basta una página, impresa y también guardada fuera de los sistemas de la empresa (si el correo está comprometido, no podrás abrirla desde ahí). Debe responder:
- Roles: quién lidera la respuesta y decide; quién hace el trabajo técnico (propio o proveedor externo); quién comunica a clientes y empleados; quién evalúa las obligaciones legales y de datos personales; quién de la dirección aprueba gastos y mensajes.
- Contactos: proveedor de TI, banco (línea de fraudes), aseguradora si tienes póliza de ciberriesgos, abogado, autoridad de protección de datos de tu país y la unidad de delitos informáticos de la policía.
- Canal alternativo: un grupo de mensajería o una lista de teléfonos para coordinar si el correo o la red no son confiables.
- Guías rápidas para los incidentes más probables, como las de la tabla de abajo.
| Tipo de incidente | Primeras acciones |
|---|---|
| Phishing con credenciales entregadas | Cambiar la contraseña, cerrar sesiones, revisar el doble factor y las reglas de reenvío, buscar el mismo correo en otros buzones y eliminarlo |
| Ransomware | Aislar los equipos de la red, no apagarlos sin consultar al técnico, proteger y verificar las copias, activar al proveedor y a la aseguradora |
| Fraude de pago (falso proveedor) | Llamar de inmediato al banco para intentar frenar la transferencia, conservar los correos, denunciar y revisar la cuenta de correo involucrada |
| Pérdida o robo de una laptop | Confirmar si estaba cifrada, bloquearla y borrarla a distancia, cerrar sus sesiones y cambiar las contraseñas guardadas en ella |
1. ¿Por qué el plan de respuesta debe estar también impreso o guardado fuera de los sistemas de la empresa?
Un ransomware puede cifrar el documento del plan y un correo comprometido puede estar siendo leído por el atacante. La copia fuera de los sistemas y el canal alternativo garantizan que puedas coordinar.
Contener, erradicar y recuperar sin destruir la evidencia
Contener es frenar la propagación: desconectar equipos de la red, bloquear cuentas, cerrar sesiones, bloquear una IP o un dominio. Hay una contención inmediata (minutos) y otra más duradera mientras se investiga. Erradicar es eliminar la causa: el malware, la cuenta creada por el atacante, la vulnerabilidad sin parchar. Recuperar es volver a operar desde un estado limpio, por ejemplo restaurando copias de seguridad anteriores al incidente, y vigilar de cerca durante los días siguientes por si el atacante intenta volver.
Formatear un equipo o borrar correos sospechosos en el primer minuto destruye la evidencia que permite saber cómo entraron, qué se llevaron y si hay obligación de notificar. Aísla en lugar de borrar, toma capturas y fotos, exporta los registros y anota cada acción con su hora. Si la evidencia puede usarse en un proceso legal, registra quién la manejó, cuándo y cómo, para mantener la cadena de custodia, y apóyate en un especialista en análisis forense.
2. Se confirma un ransomware en dos computadoras de una oficina. ¿Cuál es la acción de contención más adecuada?
Aislar frena la propagación y protege las copias, sin destruir la evidencia. Formatear es parte de la erradicación y la recuperación, después de entender cómo entró el ataque.
Comunicar y notificar
- Una sola voz: una persona designada habla con clientes y medios. Nada de especular en redes sociales o grupos de mensajería.
- Hechos, no suposiciones: qué pasó, qué datos están afectados, qué estás haciendo y qué deben hacer los afectados (por ejemplo, desconfiar de correos que pidan pagos a cuentas nuevas).
- Plazos legales: si hay datos personales afectados, revisa las obligaciones de la lección 8. Por ejemplo, en Perú el reglamento vigente fija 48 horas para comunicar el incidente a la autoridad desde que se conoce; en Brasil, 3 días hábiles para los incidentes con riesgo o daño relevante; en Colombia, 15 días hábiles para el reporte a la SIC; y en México, aviso inmediato a los titulares cuando la vulneración los afecta de forma significativa.
- Otros avisos: banco, aseguradora (las pólizas suelen exigir aviso rápido), proveedores afectados y la policía si hubo delito.
Caso: correo comprometido en una cadena de farmacias de Trujillo
El lunes 5 de octubre de 2026 a las 02:17, alguien entró al correo de la jefa de compras con una contraseña robada por phishing y creó una regla para reenviar todo afuera. Ese buzón contenía listas de clientes con datos de recetas. A las 08:47, una alerta del correo y el aviso de la propia jefa de compras confirmaron el incidente. Gabriela activó el plan: a las 09:17 la cuenta estaba contenida (sesiones cerradas, contraseña cambiada, regla eliminada, doble factor activado). Como había datos de salud, el abogado evaluó el caso y la empresa comunicó el incidente a la ANPD el martes a las 16:47, y luego avisó a los clientes afectados.
Contención en 30 minutos y notificación en 32 de las 48 horas disponibles; el plazo vencía el miércoles 7 a las 08:47.
En la reunión de lecciones aprendidas, el equipo concluyó que el problema de fondo era que el doble factor no era obligatorio para todos. Lo activaron en las 38 cuentas de la empresa, añadieron una alerta para cualquier regla de reenvío externo y programaron una capacitación contra phishing. Todo quedó anotado en el registro de incidentes.
3. Una empresa en Perú confirma un incidente con datos personales el jueves a las 15:30. Si aplica el plazo de 48 horas, ¿hasta cuándo tiene para comunicarlo a la autoridad?
Son 48 horas corridas: jueves 15:30 + 24 h = viernes 15:30; + 24 h = sábado 15:30. Los plazos en horas no se detienen el fin de semana, a diferencia de los plazos en días hábiles.
Después del incidente: aprender sin culpables
La reunión de lecciones aprendidas se hace pocos días después del cierre, con todos los involucrados, y se centra en el proceso, no en las personas. Si alguien teme ser castigado, la próxima vez no avisará. Cinco preguntas bastan: ¿qué pasó y en qué orden?, ¿qué funcionó bien?, ¿qué falló o tardó?, ¿qué cambiamos en controles, plan y capacitación?, y ¿quién se encarga de cada cambio y para cuándo? El resultado se anota en el registro de incidentes y alimenta las métricas como el MTTD y el MTTR que viste en la lección anterior.
Y, sobre todo, ensaya. Un ejercicio de mesa (una reunión de una hora en la que se plantea un escenario y cada rol explica qué haría) revela huecos del plan sin el costo de un incidente real. Hazlo al menos una vez al año.
Errores comunes
Improvisar quién decide y quién llama a quién.
Roles y contactos definidos y ensayados antes del incidente.
Coordinar la respuesta por el mismo correo comprometido.
Usa el canal alternativo acordado en el plan.
Esperar a saberlo todo para notificar.
Notifica en plazo con lo que sabes y amplía la información después.
Buscar un culpable en la reunión posterior.
Analiza el proceso y corrige los controles; el que avisa rápido merece reconocimiento.
4. ¿Qué es un ejercicio de mesa?
Es una simulación conversada, sin afectar a ningún sistema. Permite comprobar que los roles, los contactos y los pasos del plan funcionan antes de necesitarlos.
Ejercicio práctico
Ejercicio de mesa: es viernes a las 19:00 en un estudio contable de Bogotá con 12 personas. Un contador avisa por WhatsApp que los archivos de la carpeta compartida tienen una extensión extraña y no abren, y que en su pantalla hay una nota pidiendo un pago. El servidor de archivos también guarda las declaraciones de clientes. Las copias se hacen cada noche en la nube con versiones.
- Asigna la severidad y explica por qué.
- Ordena las primeras cinco acciones.
- ¿Qué debe evaluarse respecto a la ley colombiana de datos personales?
- ¿Qué datos anotarías en el registro de incidentes?
Ver solución
- Crítica: ransomware que interrumpe la operación y afecta un servidor con datos personales de clientes.
- (1) Desconectar de la red el equipo del contador y el servidor de archivos, sin apagarlos ni borrar nada; (2) avisar al líder de respuesta y al proveedor de TI por el canal alternativo; (3) proteger las copias: confirmar que la nube conserva versiones anteriores y suspender la sincronización o el acceso desde la red afectada; (4) documentar: fotos de la nota, hora, equipos afectados; (5) revisar otros equipos y cuentas para conocer el alcance, y avisar a la aseguradora si hay póliza.
- Si hubo acceso o robo de datos personales de clientes, la Circular Única de la SIC exige reportar el incidente dentro de los 15 días hábiles siguientes a su detección. El abogado o responsable de datos debe evaluarlo, junto con la comunicación a los clientes afectados.
- ID, fecha y hora de detección (viernes 19:00), quién lo detectó, tipo (ransomware), sistemas afectados, si hay datos personales (sí), severidad (crítica), acciones de contención con su hora, responsable, fecha de cierre y lecciones aprendidas.
Resumen
- Un incidente es un evento confirmado que afecta la confidencialidad, la integridad o la disponibilidad; clasifícalo por severidad.
- NIST SP 800-61 Rev. 3 (abril de 2025) integra la respuesta en el CSF 2.0; las cuatro fases clásicas siguen siendo una guía práctica.
- Prepara un plan de una página con roles, contactos, canal alternativo y guías por tipo de incidente.
- Contén rápido sin destruir evidencia, erradica la causa y recupera desde un estado limpio.
- Comunica con una sola voz, respeta los plazos legales y aprende sin buscar culpables; ensaya con ejercicios de mesa.
En la próxima lección: Seguridad en la nube y en el trabajo remoto. Entenderás el modelo de responsabilidad compartida, los errores de configuración más comunes y cómo trabajar desde cualquier lugar con confianza cero.
Crea tu cuenta en 30 segundos, marca tus lecciones y descarga el certificado al terminar.