Un plan de incidentes y una tarjeta de incidente

Módulo 8: Cuando algo sale mal · Tiempo de lectura: 10 minutos

Objetivo de la lección: Después de esta lección podrá crear una tarjeta de incidente y un plan de incidentes sencillo que funcionen incluso si sus ordenadores, el correo y la lista de contactos dejan de estar disponibles.

Conceptos clave: incidente, tarjeta de incidente, plan de incidentes, roles, lista de contactos, contener, conservar pruebas, comunicación, conservación sin conexión, practicar (tabletop)

Por qué debe organizarlo ahora, y no cuando ya esté ardiendo

Imagine que es lunes por la mañana, las 07:45. En el ordenador de la caja de Panadería Example aparece una pantalla roja con el mensaje de que todos los archivos están cifrados. La carpeta compartida con los pedidos no abre. Alguien dice: «Llama al informático». Pero su número está en los contactos del correo, y el correo está en ese mismo ordenador. Otro quiere apagar el ordenador de inmediato. Un tercero empieza a conectar el disco de copia de seguridad para «restaurarlo todo».

Las tres reacciones son comprensibles, y dos de ellas empeoran la situación. Casi siempre ocurre así: bajo presión, las personas hacen lo primero que se les ocurre. Un incidente es cualquier suceso que amenaza la disponibilidad, fiabilidad o confidencialidad de sus datos o sistemas: una cuenta de correo pirateada, un ataque de ransomware, un portátil perdido, un correo con datos de clientes enviado a la persona equivocada, un sitio web tomado por terceros.

El objetivo de un plan no es que todo salga bien. El objetivo es que en la primera hora no cometa errores que ya no pueda deshacer, y que sepa a quién llamar.

Tarjeta de incidente y plan de incidentes: la diferencia

Para una empresa de dos a veinte personas, la tarjeta es lo más importante. El plan puede ser breve. El NCSC neerlandés dispone de un plan de respuesta a incidentes detallado para el ransomware (véase Para saber más); puede tomarlo como punto de partida y resumirlo.

Qué contiene la tarjeta de incidente

Una buena tarjeta responde a cinco preguntas. A continuación, una plantilla que puede utilizar.

TARJETA DE INCIDENTE  Panadería Example          versión: 1   fecha: ..-..-....

1. ¿NOTA ALGO EXTRAÑO?  (pantalla roja, correo raro enviado, no puede iniciar sesión,
   pago desconocido, portátil perdido, datos enviados al destinatario equivocado)
   -> Avise DE INMEDIATO a: ............................  tel: ...............
      Suplente: ..........................................  tel: ...............
   Avisar siempre está bien. Nadie recibe la culpa.

2. PRIMEROS PASOS (no intente repararlo usted mismo)
   [ ] Desconecte el cable de red / apague el wifi / modo avión. NO apagar.
   [ ] Desconecte discos USB y de copia de seguridad. NO conectarlos.
   [ ] Haga una foto de la pantalla (con su teléfono).
   [ ] Anote: hora, qué vio, qué hizo.
   [ ] No pague, no responda al extorsionador.

3. ¿A QUIÉN LLAMAMOS?
   Soporte TI / administrador  ............................  tel: ...............
   Alojamiento / correo        ............................  tel: ...............
   Banco (fraude, 24/7)        ............................  tel: ...............
   Aseguradora (ciber)         ............................  póliza: ............
   Policía (denuncia)          112 (emergencias) / comisaría más cercana
   Notificación de filtración  sede electrónica de la AEPD (en un plazo de 72 horas)
   Cliente/proveedor importante: ...................  tel: ...............

4. ¿QUIÉN DECIDE Y QUIÉN HABLA?
   Decide (apagar, restaurar, notificar, pagar): ..............................
   Habla con clientes, prensa, personal: ........................................
   Lleva el registro: .....................................................

5. ¿DÓNDE ESTÁ CADA COSA?
   Copias de seguridad: .............................. (última prueba: ..-..-....)
   Acceso de emergencia al gestor de contraseñas: ...........................................
   Lista de sistemas y cuentas: ..........................................
   Este plan (digital) + copia fuera del negocio: ..............................

Algunas decisiones de esta plantilla merecen explicación.

• «No apagar, sí desconectar.» En caso de ransomware, el NCSC neerlandés recomienda desconectar de inmediato de la red el dispositivo afectado (cable, wifi, red móvil), pero no apagarlo; el modo de suspensión sí está permitido. En la memoria RAM quedan huellas que un investigador puede necesitar, e incluso a veces claves. Desconectar detiene la propagación hacia otros dispositivos y hacia la unidad de red.
• «No conectar los discos de copia de seguridad.» Un disco que conecte a un ordenador infectado también quedará cifrado. Primero hay que confirmar que el entorno está limpio (lección 8.3).
• «Avisar siempre está bien.» El empleado que detecta algo en primer lugar es su mejor defensa. Si teme una reprimenda, esperará y usted perderá horas valiosas. Véase también la lección 9.2.
• Números en papel. Precisamente en un incidente grave, su correo, su agenda compartida y a veces incluso su centralita telefónica dejan de funcionar. Una tarjeta que solo existe en la nube desaparece entonces con ellos.

En caso de peligro inmediato llame al 112; un ciberataque normalmente no es un caso de emergencia del 112, pero sí conviene presentar denuncia ante la Policía Nacional o la Guardia Civil.

Roles: quién hace qué

En una empresa pequeña, una sola persona suele hacerlo todo. Aun así, acuerde tres roles, incluso si dos tienen el mismo nombre:

1. Quien decide. Decide sobre apagar, restaurar, notificar a la AEPD, contactar con el banco, y si conviene traer a un especialista externo. Preferiblemente el propietario o director, con un suplente fijo.
2. La línea técnica. Su proveedor de TI, el creador de su web o el compañero más técnico. Hace lo que le pide quien decide y asesora. Acuerde de antemano si su proveedor de TI también ayuda en caso de incidente, con qué rapidez, y qué coste tiene; esa es una pregunta para la lección 7.2.
3. El comunicador. Habla con clientes, personal y, si procede, la prensa, para que salga un solo relato hacia el exterior. En caso de filtración de datos, esto incluye también informar a los afectados (lección 8.2).

Designe también a alguien que lleve un registro: hora, qué ocurrió, quién decidió qué. Puede parecer burocrático, pero lo necesitará para la notificación a la AEPD (que pregunta cuándo descubrió la filtración y qué hizo), para su aseguradora, para la denuncia y para la evaluación posterior.

El plan: unas reglas por tipo de incidente

Además de la tarjeta, escriba un enfoque breve por cada incidente habitual. Cuatro bastan para empezar:

Determine también qué sistemas son los más importantes, por orden. En Panadería Example, por ejemplo: caja y datáfono, pedidos del día, correo, contabilidad, sitio web. Al restaurar, empiece por el primero. Véase también RPO y RTO en la lección 6.3.

Practicar: media hora en torno a una mesa

Un plan que nadie conoce no funciona. Un ejercicio tabletop cuesta media hora: se sienta a la mesa con las personas que tienen un rol y se recrea un escenario, sin tocar nada. El moderador (puede ser usted mismo) va contando paso a paso lo que ocurre.

Ejemplo: «Es viernes, las 16:30. El contable recibe un correo de un proveedor habitual: ha cambiado el IBAN, por favor transfiera hoy mismo la factura pendiente de 8.400 euros al nuevo número. ¿Qué hace?». Y después: «Es lunes. El proveedor llama: no ha recibido nada». En cada paso pregunte: ¿quién hace qué, a quién llama, dónde está ese número?

Al terminar, anote lo que faltaba. Casi siempre es un número de teléfono, una contraseña que solo conoce una persona, o falta de claridad sobre quién decide. Actualice la tarjeta y ponga la nueva fecha. Practicar una vez al año y revisar la tarjeta es un buen ritmo para una empresa pequeña, además de hacerlo tras cada cambio importante (nuevo proveedor de TI, nuevo programa de contabilidad).

En la práctica: así se ve

Incluya también en su tarjeta los lugares concretos donde puede actuar rápidamente con sus propios proveedores. En WebOké, por ejemplo: ver y cerrar sesiones activas en Mi WebOké, el procedimiento «Mi sitio web ha sido pirateado» en el manual de DirectAdmin, y la restauración de una copia de seguridad. En otros proveedores de alojamiento, correo y nube existen funciones similares; localícelas antes de necesitarlas, y anote dónde están.

Resumen

• Una tarjeta de incidente (una hoja A4, en papel) garantiza que todos hagan lo correcto en los primeros minutos: avisar, desconectar pero no apagar, no conectar copias de seguridad, no pagar nada.
• Acuerde roles: quién decide, quién hace el trabajo técnico, quién comunica, quién lleva el registro.
• Escriba un enfoque breve por cada incidente habitual y el orden de sus sistemas más importantes.
• Conserve los números y el plan también fuera de sus ordenadores.
• Practique anualmente media hora en torno a una mesa y actualice la tarjeta.

Cuestionario

Ejercicio

Ejercicio D8.1: Su propia tarjeta de incidente. Tome la plantilla de esta lección y complétela para su propia empresa: nombres, números y ubicaciones reales. Imprímala, cuélguela y haga una foto para su teléfono. Después, con un compañero (o solo) recree en un cuarto de hora el escenario del IBAN de esta lección, y anote lo que le faltó.

Para saber más

Los pasos de los artículos de WebOké se refieren al entorno de WebOké; en otros proveedores funciona de forma similar.

• Manual de DirectAdmin 18.2: Mi sitio web ha sido hackeado: plan de acción
• ¡Ayuda! Han hackeado mi sitio web. ¿Cómo lo soluciono y cómo puedo evitarlo?
• Manual de WebOké 3.6: Ver y cerrar sesiones activas
• NCSC neerlandés, ¿Qué hacer en caso de un ataque de ransomware?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• NCSC neerlandés, Plan de respuesta a incidentes de ransomware (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• INCIBE, Línea de Ayuda en Ciberseguridad: https://www.incibe.es/linea-de-ayuda-en-ciberseguridad