Un director no necesita aprender a ejecutar una extracción forense para firmar un informe de incidente. Necesita entender qué afirma el documento, con qué evidencia, qué decisiones tomó y qué no puede prometer.
Firmar no es certificar que todo salió bien ni aceptar que el equipo técnico respondió correctamente. Es asumir una decisión con información suficiente y con sus límites visibles.
Qué ocurrió realmente
El director debe poder explicar el incidente en una secuencia simple: qué se detectó, qué sistemas afectó, qué datos estaban disponibles, qué acciones se realizaron y qué todavía no se sabe.
Esa explicación distingue disponibilidad, integridad y confidencialidad. Un cifrado no prueba robo. Una contraseña correcta no prueba consentimiento. Una recuperación no prueba que no exista copia fuera.
Si el director no puede distinguir esas preguntas, todavía no está listo para firmar una conclusión de robo o de ausencia de exfiltración. Puede firmar una actuación documentada, pero no una certeza que no comparte.
Con qué evidencia se afirma
Debe preguntar de dónde salió cada conclusión: registros de red, autenticación, archivos, nube, correo, dispositivos o declaraciones. También debe saber si la fuente es original, una copia, una captura o una interpretación.
Una captura puede ser una pista; no siempre es prueba suficiente. Una hoja preparada para dirección puede resumir, pero no sustituye los registros originales. El informe debe identificar fuente, fecha, método y custodia.
El director no necesita conocer cada herramienta. Necesita saber si el método permite a otra persona revisar lo ocurrido y si las limitaciones están escritas.
Qué no debe afirmar el informe
No debe afirmar que no hubo robo solo porque no se encontró evidencia en una fuente, ni que hubo robo solo porque hubo cifrado o una alerta. Debe describir el alcance de la revisión y las preguntas abiertas.
No debe presentar una IP como persona, una antena como domicilio o un hash como autenticidad histórica. Esas simplificaciones pueden destruir una defensa cuando otra parte las examine.
Tampoco debe prometer que la corrección funcionó si no hubo reevaluación. Si solo se instaló un parche, el informe debe decir que se instaló, no que la vulnerabilidad desapareció.
Qué decisión está tomando
Antes de firmar, el director debe saber si está aceptando una restauración, una contención, una comunicación, una notificación o un cierre. Cada decisión necesita hechos y autoridad distintos.
Si comunica públicamente, debe revisar si el texto dice lo que se sabe y evita promesas prematuras. Si restaura, debe saber si las copias fueron verificadas y si los accesos persistentes fueron revisados. Si cierra, debe saber qué preguntas siguen abiertas y qué controles quedan pendientes.
El director puede decidir con incertidumbre, pero no ocultarla. “Se investiga exfiltración” puede ser una posición correcta; “no existió” requiere otra evidencia.
Qué preguntas hacer antes de firmar
Pregunta qué se probó, qué no se reprodujo, qué fue falso positivo y qué quedó fuera del alcance. Pregunta también quién revisó la parte contraria y qué evidencia podría cambiar la conclusión.
Pregunta por la cronología de decisiones: quién apagó, desconectó, cambió o restauró. Una acción posterior no debe aparecer como si el atacante la hubiera ejecutado.
Pregunta por la reevaluación: qué se comprobó después de corregir y qué sigue pendiente. Si no existe retest, el informe debe decirlo.
Finalmente, pregunta si el informe protege a terceros. La evidencia necesaria no debe incluir toda la intimidad de clientes ni toda la infraestructura. La revisión debe limitarse a los datos pertinentes.
La firma no sustituye la evidencia
Una firma no convierte un informe en verdad ni en certificación gubernamental. Indica que una persona revisó y aceptó una decisión con base en una presentación concreta.
El director debe sentirse capaz de explicar esa decisión sin leer el documento palabra por palabra. Si solo puede repetir el titular, todavía no entiende el incidente.
Para dirección, la utilidad del informe es decidir continuidad y riesgo. Para el abogado, es revisar obligaciones. Para el equipo técnico, es demostrar método y límites. Cuando las tres presentaciones coinciden, la firma deja de ser una ceremonia y se vuelve una decisión defendible.