Protocolo de incidente: las primeras cuatro horas

Un viernes a las cuatro empieza a correr una hora que define semanas: el servidor se comporta raro, la carpeta compartida amanece cifrada, la clienta de siempre llama «extrañamente» pidiendo un cambio de cuenta, el cobro de la banca en línea aparece sin que nadie lo haya hecho. La tentación natural es reiniciar, borrar, llamar al técnico de confianza y poner la operación primero. Y cada una de esas reacciones, sin protocolo, destruye algo: la evidencia, la trazabilidad, o la obligación legal de aviso a tiempo.

Un protocolo de incidente para una PyME cabe en dos páginas y tiene cuatro columnas: quién decide, qué se aísla, qué se conserva, a quién se avisa. Escríbelo hoy, con nombres y teléfonos reales, porque en la hora cero nadie piensa bien: la gente ejecuta lo que ya estaba dicho. Y el primer renglón es tan simple como decisivo: «el que descubre la anomalía avisa de inmediato a [nombre], y no apaga ni reinicia nada sin su visto bueno».

Dos decisiones difíciles que el protocolo debe responder por adelantado, porque en caliente no se piensa: el rescate y el comunicado. Sobre pagar o no pagar un rescate: la postura práctica es que no es decisión de quien está en la oficina ese día; es del dueño, con su asesor, con su respaldo funcional en la mano y sabiendo que pagar no garantiza recuperar nada y financia la siguiente extorsión. Sobre el comunicado: la presión de «no hagamos olas» es natural y casi siempre mala consejera; si hubo datos de clientes, el aviso oportuno es ley y es reputación; el daño de descubrirlo por terceros siempre es mayor que el de contarla uno mismo, con el plan de reparación en la mano.

Y cuando el incendio se apaga, el protocolo se sienta una última vez: la revisión posterior de media hora con tres preguntas —qué pasó, por qué funcionó o no lo que teníamos, qué dos cosas cambiaremos ya— que se convierte en tareas con nombre y fecha. Porque el incidente deja de ser tragedia solo si se paga la lección: la mayoría de las empresas invadidas dos veces no tuvieron un segundo ataque más astuto: tuvieron la misma puerta sin cerrar.

Con este protocolo cierras Ciberseguridad esencial para PyME: del mapa de riesgos a la agenda anual de higiene, con respaldos probados y una política de pagos que frena el fraude. Llévalo a la práctica esta semana: el mejor protocolo es el que ya estaba escrito. Fin del curso.