¿Qué hace efectivo un plan de respuesta a incidentes?

Respuesta directa

Qué debe cubrir una buena respuesta

Cómo funciona

Un plan efectivo es uno que la gente puede ejecutar a las 3 de la mañana bajo presión. Define niveles de severidad con ejemplos para que el primer responder clasifique sin debate, nombra roles con autoridad para aislar sistemas o contactar a asesores externos y especifica canales de comunicación que siguen siendo usables si el correo o el chat están comprometidos. Incluye playbooks para los escenarios probables como compromiso de credenciales, ransomware y exposición de datos, con pasos de contención y erradicación e instrucciones para preservar evidencia antes de reconstruir. Indica cuándo se debe informar a legal, reguladores y clientes y quién lo hace, qué significa recuperación y cómo se ejercita el plan con simulacros de mesa cuyas lecciones se siguen hasta completarse.

Ejemplo

Durante una sospecha de filtración de tokens, el de guardia la clasificó como sev-2 según los ejemplos del plan, el líder del incidente activó el playbook de compromiso de credenciales y el ingeniero de seguridad rotó las claves afectadas tras tomar instantáneas de los logs y del host comprometido. Legal se involucró en menos de una hora porque el árbol de decisión del playbook señaló posible acceso a datos de clientes. Un simulacro de mesa dos meses antes había descubierto que el canal alternativo no tenía lista de miembros actualizada, lo que se había corregido.

Errores frecuentes

• Escribir un plan que nadie ha ensayado.
• Borrar un sistema comprometido antes de preservar la evidencia.
• Dejar las decisiones de notificación para improvisarlas bajo plazos legales.

Una estructura útil para responder

Responde desde tu propia experiencia.

No memorices un guion: usa solo ejemplos que puedas explicar con honestidad en preguntas posteriores.