GESTIÓN DE INCIDENCIAS: CÓMO NO IMPROVISAR CUANDO EL CAOS TOCA A LA PUERTA

Introducción

Un ataque de ransomware, un corte de red, una fuga de datos... El caos nunca avisa con antelación. La diferencia entre una empresa que sobrevive y otra que queda tocada o hundida está en su capacidad de responder sin improvisar.
La mayoría de las organizaciones creen que reaccionarán bien llegado el momento. En cambio, la realidad habitual es otra:

• No hay un plan escrito.
• No hay responsables claros.
• No hay protocolos de comunicación.
• Y, en mitad del caos, la gente improvisa.

La gestión de incidentes no es “ya veremos qué hacemos”. Es un proceso estructurado, y es parte esencial de cualquier estrategia de ciberseguridad sólida.

¿Qué es realmente la gestión de incidentes?

Es el conjunto de procedimientos y roles definidos que permiten a una organización:

1. Detectar rápido qué va mal.
2. Contener el problema para que no se propague.
3. Erradicar la causa raíz.
4. Recuperar los sistemas y la operativa.
5. Aprender para que no vuelva a ocurrir.

Un buen plan de gestión de incidentes es, en esencia, un manual de supervivencia corporativa. Permite detectar, contener, erradicar, recuperar y aprender de cada incidente.
No es un documento bonito para enseñar a auditores: es una herramienta viva que, gestionada correctamente, puede marcar la diferencia entre una interrupción y una catástrofe.

Impactos de una mala gestión

• Impacto financiero: pérdidas directas, rescates pagados, caída de operaciones.
• Impacto legal: sanciones por incumplimiento normativo (ej. RGPD, NIS2, ISO/IEC 27001).
• Impacto reputacional: pérdida de confianza de clientes, proveedores y socios.

El ciclo de vida de un incidente

La mayoría de los marcos de referencia (NIST, ISO, ENISA) coinciden en que la gestión de incidentes debe seguir fases bien definidas:
1. Preparación

• Definir roles y responsabilidades.
• Crear procedimientos documentados.
• Realizar simulacros.
• Establecer canales de comunicación.

2. Detección y análisis

• Sistemas de monitorización y alertas.
• Clasificación de la gravedad del incidente.
• Análisis inicial de evidencias

3. Contención

• Evitar que el incidente se propague.
• Decidir medidas temporales (ej. aislar un servidor).

4. Erradicación

• Eliminar la causa raíz (ej. limpiar malware, revocar accesos).

5. Recuperación

• Restaurar la operativa de forma controlada.
• Validar que los sistemas vuelven a estar seguros.

6. Lecciones Aprendidas

• Documentar lo ocurrido.
• Analizar fallos del proceso.
• Actualizar políticas y procedimientos.

Roles clave en la gestión de incidentes

• Responsable de seguridad (CISO o equivalente): coordina el proceso y comunica con dirección.
• Equipo técnico (IT/SOC): detecta, analiza, mitiga y documenta el incidente.
• Equipo de comunicación: gestiona la información interna y externa.
• Dirección: aprueba decisiones críticas (aislamiento, notificación, recuperación).
• Asesoría legal y DPO: valoran obligaciones legales y notificación a autoridades.

Errores más comunes en la gestión de incidentes

• No documentar los incidentes leves (“ya lo arreglamos”).
• No definir criterios de severidad: todo parece urgente o nada lo es.
• Depender de una sola persona sin plan de relevo.
• No realizar revisión post-incidente (post-mortem).

Normas y marcos relacionados

La gestión de incidentes forma parte de los controles A.5.24 a A.5.29 de la ISO/IEC 27001 y se desarrolla con detalle en la ISO/IEC 27035.
A su vez, el marco NIST 800-61 y las guías ENISA CSIRT proporcionan procedimientos prácticos para detección, respuesta y mejora continua.
Todos comparten una idea: no hay seguridad sin capacidad de respuesta estructurada.

Conclusión

La gestión de incidentes no empieza el día del caos. Empieza cuando diseñas el protocolo, lo ensayas y lo entiendes.
Cada minuto de anticipación puede ahorrar horas de crisis.