Prepararse para un incidente antes de que ocurra
Qué escribir de antemano
Quién lidera, quién habla con los clientes, quién se enfrenta al regulador y cómo se comunica fuera de los sistemas que pueden estar comprometidos. Una lista de contactos de los proveedores críticos, y los datos del seguro si los hay.
Procedimientos básicos: cómo cortar el acceso, cómo revocar los tokens, cómo congelar un entorno preservando las evidencias.
El orden de las acciones
Detener la propagación, preservar las evidencias, evaluar el alcance, corregir, y solo entonces volver a la normalidad. No borres un sistema comprometido antes de recoger lo necesario: es destruir evidencias que volverán a ti.
Documenta cada acción con una hora. Eso es luego la base del informe.
La notificación
Hay casos con obligación de notificar a las autoridades y a los afectados, a veces en un plazo corto. Compruébalo de antemano con quien esté cualificado, no en medio del incidente.
En profundidad
Haz un simulacro de mesa una vez al año: un escenario, un reloj y todos los titulares de roles en la sala. El simulacro siempre revela dos o tres brechas básicas: un permiso que nadie tiene, un contacto que se fue, o un procedimiento que depende de un sistema que en el propio escenario no está disponible.