Contención y preservación
Aislamiento de red sin apagado, adquisición de memoria volátil y de imágenes forenses de los sistemas relevantes, congelación de registros antes de que roten y preservación de la evidencia en la nube.
Servicio 04
Respuesta a incidentes y forense digital
En un incidente activo, las tres primeras decisiones determinan el coste total: qué se apaga, qué se preserva y qué se comunica. Las tres se toman con información incompleta y bajo presión. Ahí es donde aporta alguien que ya ha estado en la sala.
Criterio
Los tres errores que multiplican el coste
Casi todos los incidentes que llegan tarde a mis manos comparten el mismo patrón. No es falta de medios: es la reacción instintiva de un equipo competente al que nadie ha entrenado para este escenario concreto.
- Apagar los equipos afectados. Se pierde la memoria volátil, que es donde vive la mitad de la evidencia y a veces la clave de cifrado.
- Restaurar la copia de seguridad antes de saber cómo entró el atacante. Se restaura también la puerta trasera, y se vuelve a empezar en tres semanas.
- Reinstalar sin preservar imagen forense. Si el asunto acaba en litigio o en reclamación al seguro, la evidencia ya no existe.
- Comunicar antes de tener alcance. Una notificación que hay que rectificar después es peor que una notificación tardía justificada.
Alcance
Qué se hace y en qué orden
El orden no es negociable. La preservación va siempre antes que la erradicación, aunque la presión operativa empuje en sentido contrario.
Fase 1
Fase 2
Análisis y alcance
Determinación del vector de entrada, línea temporal completa de la actividad del atacante, identificación de persistencia, movimiento lateral, credenciales comprometidas y evidencia de exfiltración.
Fase 3
Erradicación y recuperación
Plan de erradicación verificable, orden de restauración, rotación de credenciales y refuerzo de los puntos concretos que el atacante utilizó, no una lista genérica de buenas prácticas.
Fase 4
Informe y obligaciones
Informe técnico y ejecutivo, y el soporte técnico que su asesoría jurídica necesita para la notificación a la autoridad de control y, en su caso, a los afectados.
Ejecución
Ventanas que importan
Los plazos regulatorios corren desde que la organización tiene conocimiento del incidente, no desde que termina el análisis. Por eso el informe se construye por capas, entregables a medida que se cierran.
24h
Notificación inicial
NIS2 exige alerta temprana a la autoridad en las primeras 24 horas para entidades esenciales e importantes.
72h
Brecha de datos
El artículo 33 del RGPD fija 72 horas para notificar a la AEPD desde el conocimiento de la brecha.
72h
Informe intermedio
Actualización con alcance, vector confirmado y medidas de contención aplicadas.
30d
Informe final
NIS2 fija un mes para el informe final, con causa raíz y medidas adoptadas.
—
Cierre
Retest de las medidas, acta de cierre y lecciones documentadas para el plan de respuesta.
FAQ
Preguntas frecuentes
Tengo un incidente ahora mismo. ¿Qué hago antes de llamar?
No apague los equipos: aíslelos de la red desconectando el cable o deshabilitando el puerto del conmutador, que preserva la memoria. No restaure copias todavía. No borre nada, ni siquiera lo que parezca del atacante. Anote la hora de cada acción que su equipo haya realizado ya. Y escríbame indicando «incidente activo» en la primera línea: esos hilos se atienden fuera de horario.
¿Sirve el informe para el seguro y para el juzgado?
Está escrito para eso. La adquisición se documenta con cadena de custodia desde el primer momento, con hashes de verificación y actas de cada actuación, de modo que el mismo material sostiene una reclamación a la aseguradora, una notificación a la AEPD y, si hace falta, un informe pericial ratificable en sala. Es la ventaja de que quien responde al incidente sea también perito judicial.
¿Se puede saber si nos han robado datos?
A veces con certeza y a veces solo con grados de confianza, y hay que decirlo así. Con registros de red, cortafuegos o proxy conservados se puede cuantificar el volumen exfiltrado y a menudo identificar qué salió. Sin esos registros, se trabaja con los artefactos del sistema —herramientas de compresión, tareas programadas, restos de cliente de almacenamiento— y la conclusión se etiqueta como indicio, no como hecho probado. Nunca afirmo lo que no puedo sostener.
¿Cuál encaja con su caso?
Describa el entorno y el motivo del encargo. Le respondo con la modalidad recomendada y el orden de esfuerzo estimado.