Respuesta a incidentes: qué hacer durante las primeras 24 horas

Cuando aparece una alerta seria, las primeras horas mezclan presión, información incompleta y decisiones difíciles. Una respuesta a incidentes eficaz no consiste en apagar máquinas al azar ni en buscar culpables: busca proteger a las personas y servicios, conservar evidencias y recuperar el control con decisiones coordinadas.

Esta guía propone un marco práctico para las primeras 24 horas. El orden debe adaptarse al incidente, al sector y a las obligaciones de cada organización.

Antes del reloj: qué es un incidente

Una alerta es una señal; un incidente es una situación confirmada o suficientemente fundada que afecta, o amenaza con afectar, la seguridad. La organización necesita criterios de clasificación, responsables y formas de escalado antes de que ocurra.

En 2025 NIST publicó la revisión 3 de SP 800-61, que integra la respuesta a incidentes en la gestión del riesgo y en las funciones del Cybersecurity Framework. Su página oficial de respuesta a incidentes reúne la publicación y recursos complementarios.

Minutos 0–30: validar sin destruir información

Registra quién notificó, cuándo, qué sistema está afectado y qué observó. Comprueba que la alerta corresponde al activo correcto y diferencia hechos de hipótesis. No abras archivos sospechosos en tu equipo habitual ni reenvíes muestras por canales sin protección.

Evita reiniciar por reflejo. Un apagado puede eliminar datos volátiles útiles para entender el alcance. En cambio, mantener un sistema conectado también puede permitir que el daño continúe. La decisión de aislamiento debe considerar seguridad humana, continuidad, evidencia y propagación.

Minutos 30–90: activar equipo y responsabilidades

Nombra un coordinador del incidente, una persona responsable del registro cronológico y enlaces con tecnología, negocio, legal, privacidad y comunicación. En equipos pequeños una persona puede cubrir más de un rol, pero las decisiones deben quedar claras.

Abre un canal de coordinación que no dependa necesariamente del sistema sospechoso. Limita participantes a quienes necesitan intervenir y define una cadencia de actualización. No publiques detalles técnicos, nombres o atribuciones no confirmadas.

Horas 1–4: delimitar el alcance

Construye una línea temporal inicial con accesos, alertas, cambios y comunicaciones. Pregunta:

• ¿qué cuentas, equipos, aplicaciones o proveedores están relacionados?;
• ¿qué datos podrían haberse consultado, modificado o extraído?;
• ¿cuál fue la primera señal conocida y qué precedió a ella?;
• ¿existen accesos correctos después de intentos sospechosos?;
• ¿qué servicios dependen del activo afectado?

Busca activos similares y señales relacionadas, no solo el primer equipo que generó la alarma. Actualiza el alcance cuando aparecen hechos nuevos y conserva las consultas realizadas para que puedan repetirse. Un sistema de correlación puede apoyar esta tarea, pero conviene entender qué hace un SIEM y qué no demuestra una alerta.

Contener sin confundir contención con erradicación

La contención reduce la capacidad de continuar el ataque: aislar un equipo, bloquear una cuenta o restringir temporalmente una función. La erradicación elimina artefactos y causas identificadas. Recuperar devuelve los servicios a un estado controlado.

CISA recuerda que la estrategia de contención debe equilibrar conservación de evidencias, disponibilidad y recursos. También recomienda preservar información volátil cuando sea viable. Consulta su guía de respuesta ante ransomware, teniendo en cuenta que cada incidente requiere apoyo especializado.

Un parche puede cerrar una vía de entrada, pero no demuestra que no exista persistencia. Un cambio de contraseña puede dejar sesiones o tokens activos. Cada medida necesita una hipótesis y una comprobación.

Horas 4–8: preservar evidencia y decisiones

Guarda registros relevantes, alertas originales, identificadores de activos y copias autorizadas con control de acceso. Documenta quién obtuvo cada elemento, de dónde, cuándo y con qué procedimiento. Mantén la evidencia separada de materiales de trabajo.

No recolectes indiscriminadamente todos los datos de la empresa. Prioriza lo volátil y relevante, respeta privacidad y retención, y solicita apoyo forense si puede haber consecuencias legales. Una captura improvisada no sustituye una adquisición adecuada.

Horas 8–24: comunicación, recuperación y siguiente ciclo

Prepara actualizaciones diferentes para dirección, equipo técnico, personal afectado y terceros. Cada una debe separar hechos, impacto conocido, decisiones, riesgos pendientes y próxima actualización.

Legal y privacidad deben evaluar obligaciones contractuales y regulatorias con información verificada. No asumas plazos universales ni retrases su participación hasta “saberlo todo”. Si hay fraude, seguridad física o delito, coordina con los canales oficiales que correspondan.

Antes de restaurar un servicio, define qué significa “limpio”, de qué copia se recuperará, qué credenciales se rotarán y qué monitorización adicional se activará. La recuperación gradual permite observar señales antes de ampliar el alcance.

Ejemplo: acceso sospechoso al correo

Escenario ficticio: una empleada informa de una aprobación MFA que no reconoce. El equipo bloquea temporalmente la cuenta, revoca sesiones y conserva los registros de identidad y correo. Después revisa reglas de reenvío, cambios de recuperación y mensajes enviados.

La investigación descubre una regla que ocultaba respuestas de un proveedor. Finanzas comprueba solicitudes recientes por un canal independiente. La organización informa a las personas necesarias, elimina la regla, fortalece el acceso y vigila cuentas relacionadas.

El aprendizaje no es “culpar a quien pulsó”. Hay que revisar por qué la solicitud era ambigua, qué permisos tenía la cuenta y por qué la regla no generó una alerta.

Errores que empeoran la situación

• borrar registros para “limpiar” antes de copiarlos;
• usar el correo comprometido como único canal de coordinación;
• atribuir el ataque por una dirección IP o una cadena sin contexto;
• restaurar servicios sin cambiar las condiciones que permitieron el incidente;
• compartir capturas con datos personales en grupos innecesarios;
• ocultar decisiones y dejar que cada equipo actúe por separado.

Lista mínima para cerrar el primer día

Deberías poder explicar el impacto conocido, el alcance provisional, qué está contenido, qué evidencias se conservan, quién toma decisiones y cuándo será la próxima revisión. Si alguna respuesta falta, debe constar como incertidumbre con responsable y siguiente paso.

Después vendrán erradicación, recuperación, vigilancia y una revisión posterior. El incidente no termina cuando deja de sonar la alarma; termina cuando el riesgo residual se entiende y las mejoras se convierten en tareas verificables.

Preguntas frecuentes

¿Siempre hay que desconectar el equipo?

No existe una respuesta universal. Puede frenar daño, pero también perder evidencia o afectar un servicio crítico. La decisión debe estar en el procedimiento y contar con apoyo competente.

¿Hay que informar a todo el mundo inmediatamente?

Hay que activar pronto a los responsables necesarios. La comunicación general debe ser precisa, proporcional y coordinada para no difundir datos sensibles o afirmaciones sin confirmar.

¿Un antivirus limpio descarta el incidente?

No. Es una señal más. Un atacante puede utilizar credenciales válidas, herramientas legítimas o técnicas no detectadas por ese producto.

Aprende a investigar y documentar

El curso premium de Analista SOC y Blue Team desarrolla alertas, líneas temporales, evidencias y comunicación de incidentes mediante casos teóricos.

Ver el curso de Analista SOC y Blue Team