Qué es la respuesta a incidentes y qué hay que decidir antes de necesitarla

La respuesta a incidentes es el conjunto de decisiones y procedimientos que se activan cuando algo sale mal: una intrusión, un ransomware, una filtración, un acceso indebido. Su valor no está en el documento, está en que las decisiones difíciles ya fueron tomadas cuando nadie estaba bajo presión.

El costo real de no tenerla se paga en las primeras horas, que son las que más determinan el desenlace. Sin plan, ese tiempo se consume averiguando quién decide, a quién se avisa, si se apaga o no el servidor, y si alguien está preservando la evidencia o destruyéndola sin querer.

Las fases

Preparación

Todo lo que se hace antes: definir roles, contactos, criterios de gravedad, canales alternativos de comunicación y ensayar. Es la única fase que se puede trabajar con calma, y la que más determina el resultado.

Detección y análisis

Reconocer que esto es un incidente y no una falla técnica cualquiera, y dimensionar qué sistemas y qué datos están involucrados. De acá salen los plazos legales que empiezan a correr.

Contención

Detener la propagación sin destruir la evidencia. Aislar en vez de apagar suele ser la decisión correcta, y es exactamente la que se toma mal cuando se improvisa.

Erradicación y recuperación

Eliminar la causa y volver a operar, verificando que el problema no vuelva con la restauración. Acá se conecta con el plan de continuidad y con los RTO y RPO ya definidos.

Lecciones aprendidas

La revisión posterior que convierte el incidente en mejoras concretas. Es la fase que casi siempre se salta, y por eso muchos incidentes se repiten con otro nombre.

Los plazos de la Ley 21.663

En Chile esto dejó de ser buena práctica y pasó a tener reloj. Para quienes califican como Operador de Importancia Vital, la Ley 21.663 fija una alerta temprana dentro de las 3 horas desde que se toma conocimiento del incidente, un reporte más completo a las 72 horas y un informe final dentro de 15 días.

Tres horas es poco tiempo para descubrir a quién le corresponde notificar. Por eso el plan no es un requisito burocrático: es lo único que hace cumplibles esos plazos.

La Ley 21.719 agrega una obligación distinta y paralela: ante una vulneración que afecte datos personales hay que notificar, y para eso se necesita saber qué datos había en el sistema comprometido. Un plan que incluya el inventario responde esa pregunta en minutos en vez de días.

Y aunque tu empresa no sea Operador de Importancia Vital, si le provees a uno es muy probable que tu contrato te imponga plazos de aviso propios — normalmente más cortos que los legales.

Cómo se prepara

Se parte por lo más simple y lo que más se olvida: una lista de contactos que funcione cuando el correo corporativo no esté disponible. Quién declara el incidente, quién habla con clientes, quién con el regulador, quién con el proveedor de TI, y cómo se comunican entre ellos si los sistemas están caídos.

Después se definen los criterios de gravedad, porque no todo incidente activa el mismo protocolo. Un correo de phishing que nadie abrió y un ransomware en el servidor de archivos no se manejan igual, y esa clasificación tiene que estar escrita antes.

Y finalmente se ensaya. Un ejercicio de escritorio de dos horas, con los responsables reales sentados en la mesa recorriendo un escenario, encuentra más huecos que releer el documento diez veces.

Preguntas frecuentes

¿Tengo que reportar todos los incidentes?

No todos. Las obligaciones dependen de si tu empresa cae bajo la Ley 21.663, de si el incidente afecta datos personales según la Ley 21.719, y de lo que digan tus contratos. Esos tres filtros conviene tenerlos escritos de antemano, porque decidirlo en caliente lleva a reportar de más o, peor, de menos.

¿Sirve de algo el plan si no tengo un equipo de seguridad?

Sirve más, justamente. Cuando no hay un equipo dedicado, el plan es lo único que suple la falta de experiencia previa: define quién hace qué y evita las decisiones improvisadas que más daño causan, como apagar un servidor y perder la evidencia.

¿Cada cuánto se ensaya?

Al menos una vez al año, y siempre que cambie un sistema crítico o la persona responsable. Un ejercicio de escritorio de dos horas es suficiente para la mayoría de las medianas empresas y encuentra huecos que releer el documento no encuentra.