El incidente no espera a que decidas bien: decide tú por adelantado

Un viernes a las cuatro empieza a correr una hora que define semanas: el servidor se comporta raro, la carpeta compartida amanece cifrada, la clienta de siempre llama «extrañamente» pidiendo un cambio de cuenta, el cobro de la banca en línea aparece sin que nadie lo haya hecho. La tentación natural es reiniciar, borrar, llamar al técnico de confianza y poner la operación primero. Y cada una de esas reacciones, sin protocolo, destruye algo: la evidencia, la trazabilidad, o la obligación legal de aviso a tiempo.\n\nUn protocolo de incidente para una PyME cabe en dos páginas y tiene cuatro columnas: quién decide, qué se aísla, qué se conserva, a quién se avisa. Escríbelo hoy, con nombres y teléfonos reales, porque en la hora cero nadie piensa bien: la gente ejecuta lo que ya estaba dicho. Y el primer renglón es tan simple como decisivo: «el que descubre la anomalía avisa de inmediato a [nombre], y no apaga ni reinicia nada sin su visto bueno».

Dos decisiones difíciles que el protocolo debe responder por adelantado, porque en caliente no se piensa: el rescate y el comunicado. Sobre pagar o no pagar un rescate: la postura práctica es que no es decisión de quien está en la oficina ese día; es del dueño, con su asesor, con su respaldo funcional en la mano y sabiendo que pagar no garantiza recuperar nada y financia la siguiente extorsión. Sobre el comunicado: la presión de «no hagamos olas» es natural y casi siempre mala consejera; si hubo datos de clientes, el aviso oportuno es ley y es reputación; el daño de descubrirlo por terceros siempre es mayor que el de contarla uno mismo, con el plan de reparación en la mano.\n\nY cuando el incendio se apaga, el protocolo se sienta una última vez: la revisión posterior de media hora con tres preguntas —qué pasó, por qué funcionó o no lo que teníamos, qué dos cosas cambiaremos ya— que se convierte en tareas con nombre y fecha. Porque el incidente deja de ser tragedia solo si se paga la lección: la mayoría de las empresas invadidas dos veces no tuvieron un segundo ataque más astuto: tuvieron la misma puerta sin cerrar.

Un protocolo de incidente no se escribe para el día que todo salga bien: se escribe para el día que alguien no piense con claridad, y ese alguien puedes ser tú.

Para dominar este tema

Lo esencial que debes saber

• El protocolo cabe en dos páginas con roles, acciones y teléfonos: se escribe en día tranquilo.
• Primera hora: aislar sin destruir evidencia (desconectar, no apagar) y escalar a quien decide.
• La bitácora con horas es la evidencia barata que hace posible el peritaje y el aviso puntual.
• Los avisos imposibles de posponer: banca, proveedor suplantado y titulares de datos sin demora.
• La revisión posterior con dos cambios cerrados es lo que separa el incidente único del recurrente.

Preguntas clave del tema

1. ¿Quién decide en la hora cero y con qué datos?
2. ¿Qué se aísla primero y qué evidencia se conserva?
3. ¿A quién se avisa y en qué ventana de tiempo?
4. ¿Cómo se decide la recuperación sin reabrir la puerta?
5. ¿Qué convierte la revisión posterior en tareas con fecha?

Lo que debes poder hacer

• Escribir el protocolo de incidente con roles, teléfonos y orden de acciones.
• Conducir la primera hora: contención, evidencia y avisos sin destruir nada.
• Cerrar el ciclo con la revisión posterior y la agenda anual de higiene.

Con este protocolo cierras Ciberseguridad esencial para PyME: del mapa de riesgos a la agenda anual de higiene, con respaldos probados y una política de pagos que frena el fraude. Llévalo a la práctica esta semana: el mejor protocolo es el que ya estaba escrito. Fin del curso.