Qué hacer en los primeros 30 minutos de un incidente de seguridad

La pantalla con el mensaje de rescate, archivos con extensiones extrañas, un cliente que avisa de que ha recibido un correo raro enviado desde la empresa. Los primeros minutos después de detectar un incidente de seguridad suelen ser confusos, y las decisiones tomadas por impulso en ese momento pueden aumentar el daño o borrar información importante. Esta guía no sustituye a un plan de respuesta ni a la ayuda de especialistas, pero organiza qué hacer mientras llega el apoyo técnico.

Minutos 0 a 5: pare, respire y confirme

El primer paso es evitar la reacción de pánico. Apagarlo todo a toda prisa, borrar archivos sospechosos o ponerse a hacer clic en los mensajes puede empeorar la situación.

• Confirme lo que está viendo: ¿es un mensaje de rescate, archivos inaccesibles, un acceso indebido a una cuenta, una transferencia sospechosa? Anote exactamente lo que ha aparecido.
• Fotografíe la pantalla con el móvil. Los mensajes de rescate, las alertas y las ventanas de error son evidencias útiles.
• Avise a la persona designada por la empresa para este tipo de situaciones. Si no se ha designado a nadie, el responsable de la empresa asume la coordinación hasta que se resuelva.

Minutos 5 a 15: contenga sin destruir

El objetivo ahora es impedir que el problema se extienda, preservando lo que pueda analizarse después.

Aísle, pero no apague

Desconecte de la red los equipos afectados: retire el cable de red y desactive el wifi. Evite apagar el equipo, porque la información que está en la memoria puede ayudar a entender lo ocurrido y se pierde al apagarlo. Si el ataque parece propagarse rápidamente por la red, el equipo técnico puede decidir aislar segmentos enteros o cortar el acceso a internet.

Proteja las copias de seguridad

Si hay un disco de copia de seguridad (backup) conectado, desconéctelo de inmediato. Si la copia está en la nube, pida al responsable que suspenda las sincronizaciones automáticas hasta conocer el alcance del incidente. Las copias preservadas son lo que permitirá la recuperación; el artículo sobre copias de seguridad contra el ransomware explica cómo prepararlas con antelación.

No borre nada

Los archivos cifrados, los correos de phishing, los registros (logs) y los mensajes de rescate deben conservarse. Limpiarlo todo puede parecer la solución, pero elimina pistas sobre cómo entró el intruso y a qué accedió.

Minutos 15 a 25: avise a quien tiene que actuar

• Proveedor o equipo de TI: llame por teléfono, no se limite a enviar un correo. Si el correo corporativo puede estar comprometido, use el teléfono o un canal alternativo.
• Aseguradora: si la empresa tiene un ciberseguro, revise las condiciones de la póliza. Muchas exigen un aviso rápido e indican empresas especializadas en respuesta a incidentes.
• Banco: si hay sospecha de fraude financiero, como un pago desviado o un acceso a la banca en línea, contacte con él de inmediato.

Sobre el rescate: no pague ni negocie por impulso. Pagar no garantiza la devolución de los datos, no impide la publicación de lo que se haya copiado y puede incentivar nuevos ataques. Cualquier decisión de este tipo debe tomarse más adelante, con asesoramiento técnico y jurídico, y nunca en los primeros minutos.

Minutos 25 a 30: registre y comunique

Empiece la cronología

Abra un documento, preferiblemente fuera de la red afectada, y anote: cuándo se detectó el problema, quién lo detectó, qué se observó, qué equipos se aislaron, a quién se avisó y a qué hora. Esta cronología será útil para el análisis técnico, para la aseguradora y para posibles obligaciones legales.

Evalúe si hay datos personales afectados

Pregúntese desde ya: ¿los sistemas afectados guardan datos de clientes, empleados o proveedores que sean personas físicas? Según el Reglamento General de Protección de Datos (RGPD), la brecha de datos personales debe notificarse a la autoridad de control, que en España es la Agencia Española de Protección de Datos (AEPD), sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas desde que se tenga constancia de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas. Si puede entrañar un alto riesgo, también hay que comunicarlo a los afectados sin dilación indebida. Por eso, es recomendable implicar desde el principio al delegado de protección de datos, si lo hay, y a la asesoría jurídica. El artículo sobre ciberseguridad y RGPD profundiza en esta relación.

Comunique internamente

Informe al personal de forma objetiva: qué está ocurriendo, qué sistemas no deben usarse, por qué canal llegarán las instrucciones y a quién comunicar cualquier cosa extraña. Evite las especulaciones y pida que nadie comente el caso fuera de la empresa ni en redes sociales hasta que haya una posición oficial.

Después de los 30 minutos

Lo que viene a continuación depende de la naturaleza del incidente y de las indicaciones técnicas: investigación de la causa, limpieza o reinstalación de los sistemas, restauración a partir de copias de seguridad fiables, revisión de accesos y, cuando proceda, comunicaciones formales. Cada incidente es diferente, y esta guía sirve como referencia general, no como garantía de resultado.

Lo más importante es que estos pasos se conozcan antes de que hagan falta. Una hoja impresa con los contactos de emergencia y las primeras acciones, guardada en un lugar conocido, ya ayuda mucho.

Guía resumida

• Mantenga la calma y fotografíe lo que aparece en la pantalla.
• Desconecte de la red los equipos afectados, sin apagarlos.
• Desconecte o proteja las copias de seguridad.
• No borre archivos, correos ni mensajes sospechosos.
• Avise por teléfono al proveedor de TI y, si la hay, a la aseguradora.
• No pague ni negocie un rescate por impulso.
• Cambie las contraseñas desde un dispositivo limpio.
• Registre la cronología desde el primer minuto.
• Compruebe si hay datos personales afectados e implique a la asesoría jurídica.
• Oriente al personal con mensajes claros y por un canal definido.