Las primeras 24 horas de un incidente no son para improvisar una respuesta perfecta. Son para evitar que la urgencia cambie los hechos, destruya registros y produzca decisiones que después nadie pueda explicar.
El objetivo no es afirmar que todo está resuelto. Es llegar al día siguiente con el daño contenido, las fuentes preservadas, una cronología confiable y decisiones documentadas.
Primero: contén sin borrar la escena
Identifica qué equipos, cuentas, servicios y respaldos están afectados. Aísla lo necesario sin apagar indiscriminadamente toda la organización. Si el cifrado o la destrucción sigue activa, detener el proceso puede ser prioritario, incluso si implica perder información volátil.
No reinstales, no formatees, no ejecutes recuperadores y no borres reglas de buzón o accesos remotos. Esas acciones pueden eliminar la explicación del vector de entrada.
Documenta quién hizo cada movimiento y a qué hora. Una desconexión puede ser necesaria, pero debe quedar como acción de respuesta, no como parte del ataque original.
Preserva fuentes concretas
Conserva equipos o copias necesarias, registros de autenticación, accesos remotos, historiales de archivos, reglas de buzón, nube, notificaciones y comprobantes de operación. Identifica cada fuente con fecha, responsable y método de extracción.
No esperes a que todos los registros estén disponibles para proteger operaciones urgentes. Si un beneficiario nuevo puede recibir más dinero, avisa al banco por el canal oficial mientras preservas las demás fuentes.
La preservación no es acumular toda la información de la empresa. Delimita activos y períodos relevantes para no exponer datos personales de terceros ni detener la operación sin necesidad.
Asigna funciones, no voluntariedad
Designa quién contiene, quién preserva, quién decide, quién revisa aspectos jurídicos y quién comunica. Si una persona acumula funciones, define revisión y suplencia.
Dirección necesita continuidad y recursos. Jurídico necesita obligaciones y alcance. El equipo técnico necesita saber qué cambios pueden alterar evidencia. El responsable de privacidad necesita saber qué datos y titulares están involucrados.
La comunicación interna debe indicar qué puede hacer el personal: abrir o no archivos, usar o no respaldos, contactar o no clientes y documentar cómo. Instrucciones contradictorias producen nuevas pérdidas.
Construye una cronología única
Anota detección, primeros eventos conocidos, acciones de contención, cambios de acceso, notificaciones y decisiones. Usa una sola zona horaria y marca las que cada sistema utiliza.
La cronología debe separar hechos observados, declaraciones de personas y conclusiones provisionales. Si un atacante afirma que robó datos, eso queda como declaración, no como prueba de exfiltración.
Una cronología útil permite que otra persona reconstruya qué ocurrió sin depender de recuerdos contradictorios. No necesita ser elegante: necesita ser verificable.
Evalúa impacto sin inventar alcance
Distingue disponibilidad, integridad y confidencialidad. Un sistema caído no prueba exfiltración. Un archivo recuperado no demuestra que no exista copia fuera. Una autenticación correcta no demuestra consentimiento.
Revisa si hubo salida, qué datos estaban disponibles y qué evidencia existe de transferencia. Si todavía no se sabe, se dice que se investiga. La comunicación preliminar puede ser honesta sin anunciar una conclusión prematura.
El abogado y el responsable de privacidad revisan obligaciones, contratos y necesidad de notificación según los hechos. El manual no sustituye esa revisión ni convierte toda vulneración en una obligación idéntica de aviso.
Prepara el día siguiente
Al terminar el primer período, debe existir un inventario de hechos conocidos, fuentes preservadas, acciones realizadas, preguntas abiertas y responsables siguientes. No una declaración de victoria.
Decide qué sistemas pueden restaurarse, con qué copias y bajo qué controles. Verifica accesos persistentes antes de conectar respaldos. Una restauración puede volver a cifrar el entorno si la puerta sigue abierta.
Planifica la reevaluación: qué condiciones deben comprobarse para saber que la contención funcionó y qué registros falta obtener antes de que venzan sus retenciones.
El manual deja una respuesta ordenada para continuar. No necesita afirmar que todo fue controlado. Necesita que el siguiente día comience con evidencia, no con una historia reconstruida por memoria.