Los planes de respuesta a incidentes que circulan por ahí tienen cuarenta páginas, doce roles y un comité de crisis. En una empresa de ocho personas eso no se lee, no se ensaya y no se usa el día que hace falta.
Lo que sí funciona es una página, impresa y pegada en algún sitio, con cinco pasos y cuatro teléfonos. Este es el modelo que damos a nuestros clientes.
Por qué una página y no cuarenta
En un incidente real, las tres primeras horas se van en decidir cosas que deberían estar decididas: quién manda, a quién se llama, si se apaga el servidor, quién habla con los clientes. Un plan corto resuelve exactamente eso. Todo lo demás se improvisa mejor con la cabeza despejada.
La página, sección por sección
1. Quién decide (dos nombres, dos teléfonos)
Una persona responsable y su suplente. Tienen autoridad para parar la web, autorizar un gasto de urgencia y decidir si se comunica. Sin esto, todo se bloquea esperando a que alguien conteste el teléfono.
2. A quién se llama (con números, no con «el de sistemas»)
| Quién | Para qué |
|---|---|
| Proveedor de alojamiento | Aislar, restaurar, dar registros. Ten el número del soporte 24 h y el identificador de cliente |
| Quien mantiene la web | Diagnóstico técnico |
| Asesoría legal o quien lleve protección de datos | Plazos de notificación |
| Banco | Solo si hay dinero de por medio; el teléfono de fraude, no el de la oficina |
| Seguro de ciberriesgo, si lo tienes | Muchos exigen avisar en 24-48 h para cubrir: qué cubre de verdad |
3. Los cinco pasos
- Detectar y anotar la hora. Todo lo que hagas a partir de aquí se anota con hora: qué viste, qué hiciste, quién lo hizo.
- Contener sin destruir. Aislar la web (modo mantenimiento, restringir accesos), cambiar contraseñas de administrador, cerrar sesiones abiertas. No reinstalar, no borrar, no restaurar todavía: eso elimina las pruebas de por dónde entraron.
- Preservar. Copia completa del estado actual —ficheros, base de datos y registros— guardada aparte y sin tocar: cómo hacerlo bien.
- Valorar. ¿Qué datos hay en juego? ¿Hay datos personales? ¿Hay dinero? De esa respuesta salen los plazos legales: las 72 horas y, si procede, la comunicación a clientes.
- Recuperar y cerrar la vía de entrada. Restaurar limpio, actualizar, rotar todas las credenciales y comprobar que no queda persistencia. Si no encuentras por dónde entraron, la reinfección es cuestión de semanas.
4. Qué NO hacer
- No pagar rescates sin asesoramiento.
- No restaurar encima sin conservar copia del estado comprometido.
- No contar a medias a los clientes; mejor esperar dos horas y contar algo cierto.
- No discutir el incidente por el correo de la empresa si sospechas que el correo está comprometido. Usa otro canal.
- No borrar los registros «para liberar espacio». Son la única fuente de verdad: cómo leerlos.
5. Datos que tienes que tener a mano
- Dónde están las copias de seguridad y cómo se restauran, por escrito.
- Quién tiene acceso a qué: el inventario de credenciales (gestor de contraseñas).
- El registro de tratamientos, para saber qué datos hay en cada sistema: cómo se hace.
- Contratos con proveedores y qué se comprometieron a hacer: cláusulas de seguridad.
Imprímelo. Suena antiguo hasta el día que el incidente afecta al correo o al servidor donde guardas la documentación. Un papel en un cajón y una copia en el móvil del responsable.
Los tres escenarios que conviene tener pensados
No hacen falta veinte. Con estos tres cubres la práctica totalidad de lo que le pasa a una pyme:
- Web comprometida: contenido inyectado, aviso del navegador, redirecciones raras.
- Cuenta de correo comprometida: reglas de reenvío, correos salientes que no has escrito, intento de fraude en curso.
- Cifrado de ficheros o pérdida de datos: la copia de seguridad pasa a ser el plan entero. De ahí que haya que probarla antes.
Para cada uno, una línea: quién lo detecta, qué se aísla primero y a quién se llama.
Ensáyalo una vez al año
Media hora, sentados, sin tocar nada: «son las diez de la mañana y la web redirige a una página de apuestas, ¿qué hacemos?». Descubrirás lo de siempre: que nadie sabe dónde están las copias, que el teléfono del hosting no lo tiene nadie a mano, y que la persona que lo sabía todo se fue el año pasado.
Ese ensayo vale más que cualquier documento largo. Y si quieres que el plan además te sirva para acreditar diligencia ante una inspección, enlázalo con tus medidas de seguridad apropiadas: tener un procedimiento escrito es una de ellas.
Como referencia externa, INCIBE-CERT ofrece atención a empresas y publica guías de gestión de incidentes que puedes usar para ampliar este esqueleto cuando la empresa crezca.
Seguir leyendo en esta sección
- Notificar una brecha de datos a la AEPD en 72 horas: paso a paso
- Qué evidencias conservar cuando te atacan (y cómo no destruirlas)
- Me han atacado la web: qué obligaciones legales tengo y en qué orden
- Cómo comunicar una brecha a tus clientes sin perderlos
- Sanciones de la AEPD a pymes: por qué se ponen de verdad y cómo evitarlas
Ver todo en Brechas y obligaciones tras un incidente → · Mapa completo del sitio