Cuando llega el ransomware, el phishing exitoso o el acceso no autorizado, la empresa improvisa: se apagan equipos al azar, se borra evidencia sin querer y nadie sabe a quién llamar. El plan de respuesta a incidentes no evita el ataque; evita que la respuesta empeore el daño. Cabe en un documento corto si define roles, gravedad y los primeros treinta minutos.
No hace falta un comité de crisis de veinte personas. Hace falta una hoja que diga quién decide, qué se contiene primero y cómo se comunica. Esa hoja se prueba una vez al año; sin prueba, es literatura.
Objetivos y alcance del plan
El objetivo es contener, recuperar y aprender, en ese orden. Contener limita la propagación; recuperar restaura operación con copias limpias; aprender evita repetir el mismo error. El alcance cubre correo, servidores, estaciones, accesos remotos y proveedores con cuenta en la red.
Fuera del alcance quedan incidentes solo físicos (robo de laptop sin datos sensibles) salvo que involucren credenciales. Definir el borde evita que el plan se active por cualquier ticket de helpdesk. El marco de ransomware se detalla en cómo proteger tu empresa del ransomware.
Roles, responsables y contactos
Tres roles bastan en una PyME: el coordinador (quien declara el incidente y dirige), el técnico (quien aísla equipos y revisa logs) y el de comunicación (quien avisa a dirección, clientes o autoridades según criterio). Cada rol tiene suplente; un solo nombre de vacaciones no sirve.
- Lista de teléfonos internos actualizada cada trimestre
- Contacto del proveedor de TI o MSP
- Contacto del seguro cibernético, si existe
- Canal de reporte para el personal (correo o chat dedicado)
El primer aviso va al coordinador o a sistemas, no al grupo general de WhatsApp. Difundir el incidente en un chat abierto multiplica el pánico y puede alertar al atacante si aún tiene acceso.
Clasificación por gravedad
Sin gravedad, todo se trata como emergencia y nada se prioriza. Tres niveles funcionan: bajo (intento fallido o phishing reportado a tiempo), medio (cuenta comprometida contenida) y alto (ransomware, exfiltración o caída de sistemas críticos). Cada nivel dispara acciones distintas y tiempos de escalamiento.
El phishing que ya hizo clic pero aún no cifró entra en medio: rotar contraseñas y revisar, como en phishing: cómo identificar correos fraudulentos. El cifrado activo o la amenaza de publicación de datos es alto: contención inmediata y decisión de dirección.
Contención, comunicación y evidencia
Contener no es borrar: es aislar. Desconectar de la red el equipo afectado, revocar sesiones, cambiar credenciales de administradores y congelar cuentas sospechosas. Apagar sin imagen ni bitácora puede destruir evidencia que el seguro o la autoridad pedirán después.
La evidencia mínima: hora de detección, quién reportó, capturas del mensaje o pantalla, lista de equipos tocados y acciones tomadas con marca de tiempo. Guardarla fuera de la red afectada. La comunicación externa (clientes, INAI, policía) sigue un criterio escrito: no improvisar un tuit ni un correo masivo sin el coordinador.
Revisión posterior y lecciones aprendidas
Cuando la operación vuelve, el plan exige una reunión corta: qué falló, qué funcionó, qué se cambia en permisos, respaldos o capacitación. Sin esa reunión, el mismo incidente se repite en seis meses. Las acciones quedan en la bitácora del plan y en el calendario de TI.
El respaldo que sobrevive al ataque es parte del plan, no un anexo: sin copia aislada no hay recuperación real. Cómo dimensionarla está en copias de seguridad contra ransomware.
Un plan de respuesta cabe en pocas páginas si nombra responsables, clasifica gravedad y fija los primeros pasos. Se prueba, se actualiza contactos y se enlaza con respaldos. El día del incidente, esa hoja ahorra las horas que más cuestan.
