Las primeras dos horas de una crisis cibernética

Es habitual encontrar planes de cincuenta páginas que no sirven cuando el correo interno deja de salir. El plan no falla por falta de detalle. Falla porque nadie ensayó la única pregunta que importa: ¿quién decide en los próximos 120 minutos? Los intervalos que siguen son una propuesta de trabajo del autor, no un estándar obligatorio.

Lo que no es una crisis

Un evento técnico es un evento técnico. Se convierte en crisis cuando amenaza la continuidad, la confianza o la legalidad de la organización, y cuando la información disponible es peor que la que el atacante ya tiene. Tratarlo como un ticket de mesa de ayuda es la primera mala decisión.

Los cuatro frentes de las primeras dos horas

• Gobierno: quién entra a la sala, quién queda fuera y quién tiene autoridad para apagar un sistema de producción.
• Contención: qué se aísla, qué se preserva y qué no se toca para no destruir evidencia.
• Continuidad: qué operación mínima debe seguir en pie aunque el sistema principal no vuelva hoy.
• Comunicación: qué se dice hacia adentro, qué se calla hacia afuera y quién habla con reguladores o clientes.

Si esos cuatro frentes no tienen dueño en la primera hora, la organización improvisará cuatro narrativas distintas. El atacante no necesita más.

Secuencia 0–30, 30–60 y 60–120 minutos

Esta secuencia no sustituye el plan de respuesta. Ordena lo que no puede esperar. Cada bloque tiene un producto, no una reunión.

0–30 minutos: abrir la sala y fijar autoridad

1. Activar al dueño de la crisis. Si no hay dueño preasignado, el CEO asume hasta nombrar uno.
2. Abrir una sala —física o virtual— con registro de hora, asistentes y un único relator.
3. Declarar el canal oficial. Todo lo que ocurra fuera de ese canal es rumor.
4. Separar contención de investigación. Quien apaga no es quien reconstruye la cronología.
5. Proteger evidencia: no reiniciar «para ver si vuelve», no borrar logs, no formatear «por higiene».

30–60 minutos: contener sin cegar

1. Aislar lo comprometido con criterio de negocio, no con pánico de perímetro.
2. Identificar sistemas deliberadamente no tocados y documentar por qué.
3. Estimar, aunque sea tosco, impacto a cliente, tesorería, regulador y empleados.
4. Decidir qué operación mínima se sostiene: pagos, atención crítica, despacho, nómina.
5. Redactar una frase de situación de no más de cuatro líneas, con hora.

60–120 minutos: continuidad y primera comunicación

1. Confirmar quién habla hacia afuera. Una persona. El resto redirige.
2. Decidir si hay obligación de notificar y en qué plazo. Legal entra aquí, no como adorno.
3. Programar la próxima decisión, con hora. Una crisis sin reloj se convierte en tertulia.
4. Listar lo que todavía no se sabe y decirlo como tal. El vacío honesto evita la mentira útil.
5. Revisar si hace falta un comunicado interno antes que uno externo. El rumor interno también es un incidente.

Comité de crisis: quién entra y quién no

Una sala, no un chat. El CISO informa. El CEO decide. Legal y comunicación no son invitados de cortesía: son parte del gobierno. Tecnología ejecuta contención. Continuidad dice qué operación no puede caer. Si el presidente de la junta quiere entrar, que entre a escuchar, no a reescribir el diagnóstico cada veinte minutos.

• Entran: dueño de la crisis, CISO o equivalente, legal, comunicación, dueño de la operación crítica, relator.
• Entran bajo demanda: seguros, forense externo, regulatorio, recursos humanos.
• Quedan fuera: quien no tiene autoridad, quien no tiene información y quien solo quiere «estar al tanto» en un hilo de mensajería.

Decisiones que no pueden esperar

• ¿Se desconecta producción ahora, o se observa con riesgo de mayor compromiso?
• ¿Se preserva evidencia aunque eso retrase la recuperación?
• ¿Se notifica a un regulador, a un cliente crítico o a un proveedor ahora, o se espera a la siguiente hora?
• ¿Quién tiene autoridad para pagar, negociar o rechazar un rescate, si el escenario es ransomware?

Checklist de los primeros 120 minutos

• Dueño de la crisis nombrado y presente.
• Sala abierta, relator asignado, canal único.
• Sistemas afectados y sistemas no tocados, por escrito.
• Evidencia protegida: logs, copias, cuentas, artefactos.
• Operación mínima definida: qué sigue, qué se detiene.
• Frase de situación fechada, de no más de cuatro líneas.
• Vocero único y lista de audiencias (interna, clientes, regulador, prensa).
• Próxima decisión programada, con hora.

Eso no sustituye el forense. Evita que la junta gobierne rumores. Las primeras dos horas no se ganan con heroísmo técnico. Se ganan con criterio. Amplío este enfoque en La próxima crisis no avisará y en la pregunta paralela de qué debe preguntar una junta sobre ransomware.

Registro de decisiones — ejemplo hipotético

• Hora 08:12. Se declara incidente. Dueño de crisis: gerencia general. Relator asignado.
• Hora 08:27. Canal oficial: sala de crisis. Se prohíbe discutir el incidente en chats paralelos.
• Hora 08:41. Se aísla el servidor de correo. No se reinicia. Se preservan logs.
• Hora 09:10. Operación mínima: tesorería y atención a clientes críticos por canal alterno.
• Hora 09:35. Frase de situación de cuatro líneas, con hora. Vocero único nombrado.
• Hora 10:00. Próxima decisión programada: notificar o no a regulador, con legal presente.

Esta secuencia se alinea con la idea de preparación, detección, contención, erradicación y recuperación que describe NIST SP 800-61 Rev. 3 para el manejo de incidentes. No reemplaza ese marco: lo traduce a las primeras dos horas de una junta.