Plantilla de Plan de Respuesta a Incidentes: Qué Hacer en las Primeras 24 Horas de una Brecha

La mayoría de las PYMEs tienen alguna versión de una política de seguridad. Muy pocas tienen un plan de respuesta a incidentes probado y accionable. La diferencia se vuelve dolorosamente clara a las 2 de la madrugada cuando un empleado llama para decir que su pantalla está bloqueada y hay una nota de rescate. Esta guía le proporciona un marco de trabajo — no uno teórico.

Fase 1: Detección y Triaje Inicial (0–2 Horas)

Las primeras dos horas son para comprender el alcance, no para arreglar nada. La remediación prematura — como reiniciar las máquinas infectadas — puede destruir evidencia forense y dificultar la recuperación.

• Confirme que el incidente es real — descarte falsos positivos de las herramientas de monitoreo
• Identifique los sistemas afectados: qué máquinas, qué usuarios, qué almacenes de datos
• Determine el tipo de incidente: ransomware, exfiltración de datos, acceso no autorizado, amenaza interna
• Active su equipo de respuesta a incidentes — líder de IT, gerencia, asesor legal si está disponible
• NO reinicie las máquinas afectadas a menos que se estén propagando activamente — preserve el estado forense
• Comience un registro del incidente: registre con marca de tiempo cada acción tomada a partir de este momento

Fase 2: Contención (2–6 Horas)

La contención significa detener la propagación sin destruir evidencia. El objetivo es aislar los sistemas afectados del resto de la red mientras se preserva la capacidad de investigar.

• Aísle las máquinas afectadas de la red — desenchufe el ethernet, deshabilite el Wi-Fi a nivel del switch si es posible
• Revoque o rote las credenciales de cualquier cuenta que pueda estar comprometida
• Bloquee las IPs o dominios maliciosos conocidos en el firewall
• Preserve imágenes de disco de los sistemas afectados antes de comenzar cualquier remediación
• Identifique el vector de ataque — correo de phishing, VPN comprometida, vulnerabilidad sin parche
• Notifique a su aseguradora de ciberseguridad — la mayoría de las pólizas requieren notificación dentro de las 24–72 horas

Fase 3: Obligaciones de Notificación (6–24 Horas)

Las leyes de notificación de brechas de datos varían por estado e industria. La Ley de Protección de Información de Florida requiere notificación dentro de los 30 días de determinar que ocurrió una brecha. HIPAA requiere notificación dentro de los 60 días. PCI DSS requiere notificación inmediata a su banco adquirente. No notificar a tiempo puede resultar en multas que superan el costo de la propia brecha.

• Empresas en Florida: notifique a las personas afectadas dentro de los 30 días (Ley de Protección de Información de Florida)
• Entidades cubiertas por HIPAA: notifique al HHS y a las personas afectadas dentro de los 60 días
• PCI DSS: notifique a su banco adquirente y a las marcas de tarjetas inmediatamente al descubrimiento
• Documente su cronograma de notificación — los reguladores lo solicitarán
• Involucre a asesor legal antes de enviar cualquier notificación externa
• Prepare una comunicación interna para los empleados — el silencio genera rumores

Fase 4: Erradicación y Recuperación

Solo comience la erradicación después de que la contención esté confirmada y las imágenes forenses estén preservadas. La erradicación significa eliminar la amenaza — malware, puertas traseras, cuentas comprometidas — completamente de su entorno. La recuperación significa restaurar los sistemas desde respaldos conocidos como buenos y verificar la integridad antes de reconectarse a la red.

• Reconstruya los sistemas afectados desde imágenes limpias — no intente 'limpiar' máquinas infectadas con ransomware
• Restaure los datos desde el respaldo limpio más reciente — verifique la integridad antes de usar
• Restablezca todas las contraseñas en toda la organización, no solo las cuentas afectadas
• Aplique el parche a la vulnerabilidad que fue explotada antes de reconectar los sistemas
• Monitoree intensivamente los sistemas restaurados durante 30 días después del incidente

La Revisión Post-Incidente: Convirtiendo el Dolor en Prevención

Dentro de las dos semanas posteriores a la resolución, realice una revisión formal post-incidente. Documente qué sucedió, cómo se detectó, cómo fue el cronograma de respuesta y qué brechas expuso el incidente. Esta revisión no se trata de asignar culpas — se trata de construir una mejor defensa. Actualice su plan de respuesta a incidentes basándose en lo que aprendió.