Qué hacer en las primeras horas tras un incidente de seguridad

Un acceso sospechoso, una web que empieza a comportarse de forma rara, un empleado que recibe una alerta del antivirus que nadie sabe interpretar. La mayoría de empresas no tienen un plan para este momento, y las primeras horas son precisamente las que más determinan cómo termina el incidente.

Esto es lo que hay que hacer — y lo que hay que evitar — nada más detectar que algo no va bien.

Primero: no entres en pánico ni apagues nada todavía

El instinto más común es desconectar el servidor o formatear el equipo afectado inmediatamente. Es también el error más caro: borra la evidencia que permitiría entender qué pasó, cómo entraron y si siguen dentro del sistema.

Antes de tocar nada, aísla el sistema de la red si es posible (desconectar el cable, no apagar el equipo) y empieza a documentar: qué se ha visto, a qué hora y quién lo detectó.

Los pasos que sí marcan la diferencia

• Aislar sin apagar. Desconectar de la red corta el acceso del atacante sin destruir la memoria RAM ni los procesos en ejecución, que suelen contener la evidencia más valiosa.
• Cambiar credenciales críticas. Contraseñas de administración, claves API y accesos privilegiados, empezando por los que se sepa o sospeche que están comprometidos.
• Preservar logs antes de que roten. Los registros de acceso, firewall y aplicación suelen sobrescribirse en horas o días. Copiarlos cuanto antes es crítico para reconstruir la línea de tiempo.
• Identificar el alcance real. Qué sistemas están afectados, qué datos podrían haberse visto comprometidos y si el acceso sigue activo.
• Revisar si hay datos personales afectados. Si los hay, el RGPD obliga a notificar a la AEPD en un plazo de 72 horas desde que se tiene constancia.

Por qué la documentación importa tanto como la contención

Un incidente mal documentado es un incidente que se repite: sin saber el vector de entrada exacto, es imposible cerrarlo de verdad. Cada paso — qué se hizo, cuándo y quién lo hizo — debería quedar registrado desde el primer minuto, con capturas, logs y timestamps.

Esta misma documentación es la que después permite construir un plan de remediación priorizado: qué cerrar primero, qué monitorizar y qué reforzar para que no vuelva a pasar.

Cuándo pedir ayuda externa

Si el incidente afecta a sistemas de producción, hay indicios de robo de datos o simplemente no hay claridad sobre el alcance, es el momento de traer a alguien con experiencia en análisis forense. Cuanto antes se involucre, más evidencia se conserva intacta y más rápido se puede cerrar el vector de entrada con confianza.

¿Por dónde empezar?

Si estás en medio de un incidente ahora mismo o quieres tener un plan preparado antes de que ocurra, cuéntame la situación. En una consulta de 30 minutos puedo decirte qué hacer y qué prioridad tiene cada paso.

Sin compromiso. Sin coste.