Cuenta crítica comprometida
Acceso de administrador, dirección, finanzas, correo, nube, VPN, herramienta de negocio o cuenta de proveedor con privilegios.
Módulo · Conducción del incidente
Conducir un incidente con un diario de decisiones con marca de tiempo
El módulo centraliza la situación, las funciones, las acciones, los plazos y las decisiones tomadas durante el incidente. Los elementos técnicos y las comunicaciones útiles pueden vincularse a la cronología y exportarse al final de la crisis.
Diario con marca de tiempo · pruebas preservadas · notificación en 72 h encuadrada.
01 · SEÑALES DE ALERTA
Cuándo hay que tratar la situación como una crisis
Una crisis cíber no siempre empieza con un ransomware visible. Puede arrancar con una señal débil, una incoherencia en el negocio o una alerta de un proveedor.
Fraude o transferencia sospechosa
Datos bancarios falsos, cambio de cuenta bancaria, suplantación de un proveedor, orden urgente o validación bajo presión.
Fuga o exposición de datos
Documentos de clientes, datos de RR. HH., de salud, contratos, datos personales, secretos comerciales o archivos depositados fuera de control.
Actividad anómala en el sistema de información
Alertas del EDR, conexiones inusuales, scripts desconocidos, cuentas creadas, reglas de correo, volumen de red anómalo.
Indisponibilidad del negocio
Herramienta crítica bloqueada, producción detenida, facturación no disponible, portal de clientes afectado o proveedor esencial que falla.
Presión externa
Petición de rescate, amenaza de divulgación, solicitud de los medios, cliente preocupado, aseguradora, autoridad o contratista principal exigente.
02 · LAS 72 PRIMERAS HORAS
Una cronología operativa, legible por la dirección
El encuadre inicial produce una visión compartida: preservar lo que permitirá comprender, delimitar el alcance, contener sin cegar, decidir sobre la continuidad y después estabilizar. Una referencia orientativa, que debe adaptarse a la naturaleza del incidente y a las obligaciones aplicables.
De 0 a 2 hPreservar y calificarPreservar las pruebas, anotar los hechos y las horas, identificar el alcance afectado, evitar las acciones irreversibles, alertar a quienes deciden.
De 2 a 12 hContener y asegurarAislar los sistemas afectados, asegurar los accesos sensibles, verificar las cuentas privilegiadas, confirmar los impactos en el negocio, organizar la célula.
De 12 a 24 hDecidir y dirigirPriorizar las acciones, decidir las medidas de continuidad, encuadrar la comunicación, documentar las decisiones, preparar la remediación.
De 24 a 72 hEstabilizarConsolidar la remediación, verificar las copias de seguridad, seguir los indicadores de estabilización, preparar las lecciones aprendidas, planificar el refuerzo.
03 · DOCTRINA
Al inicio de un incidente, preservar la capacidad de comprender mañana.
La prioridad no es comprenderlo todo de inmediato, ni borrarlo todo. Es estabilizar, preservar, decidir y documentar, sin haber destruido las pruebas ni perdido el control de las decisiones.
Una lectura comprensible para la dirección, TI, el área jurídica, las áreas de negocio y los socios afectados. Siempre se distingue la constatación, la hipótesis y la decisión.
04 · CÉLULA DE CRISIS
Conectar lo técnico, lo jurídico, el negocio y la reputación
Estructuramos la coordinación para evitar que cada actor tome una decisión aislada con información parcial.
DirecciónArbitraje, continuidad, presupuestos, exposición estratégica.
TI / seguridadAlcance técnico, accesos, registros, contención.
DPD / área jurídicaDatos personales, notificación, pruebas, contratos.
Áreas de negocioProcesos críticos, clientes, producción, prioridades sobre el terreno.
ComunicaciónMensajes internos, a clientes, a socios, postura pública.
Seguro / proveedoresDeclaraciones, alcance de la intervención, trazabilidad.
05 · PRUEBAS
Preservar lo que permitirá explicar, decidir y justificar
La prueba no es solo técnica. Incluye las decisiones tomadas, las solicitudes recibidas, las comunicaciones, los impactos en el negocio y los elementos transmitidos por terceros.
Rastros técnicos
Registros, alertas, capturas del EDR, conexiones, cuentas, reglas, archivos sospechosos.
Rastros de negocio
Facturas, datos bancarios, intercambios con proveedores, tickets, operaciones, indisponibilidades.
Rastros de decisión
Horas, validaciones, decisiones, medidas cautelares, comunicaciones enviadas.
Rastros externos
Correos de clientes, mensajes de proveedores, aseguradora, banco, plataforma, autoridad o denuncia.
06 · DECISIONES
Las preguntas que estructuran la decisión
Una gestión de crisis eficaz transforma la incertidumbre en decisiones documentadas, incluso cuando el análisis técnico aún no está completo. Cada decisión se incorpora al diario de decisiones.
¿Hay que aislar?
¿Qué sistemas cortar, mantener, vigilar o conmutar sin agravar la indisponibilidad del negocio?
¿Hay que notificar?
¿Qué datos están afectados, con qué nivel de certeza, y quién debe calificar la obligación?
¿Hay que comunicar?
¿Quién informa a empleados, clientes, socios, aseguradoras o contratistas principales, y con qué nivel de detalle?
¿Hay que reconstruir?
¿Qué trayectoria de restablecimiento, qué requisitos previos de seguridad, qué prioridad de negocio?
¿Hay que presentar una denuncia?
¿Qué elementos fácticos y cronológicos pueden conservarse para respaldar el trámite?
¿Hay que activar el PCA/PRA?
¿Qué procesos son prioritarios, qué solución degradada, qué umbral de recuperación aceptable?
07 · PLAZOS Y NOTIFICACIÓN
Plazos cumplidos, una notificación en 72 h encuadrada
Los playbooks llevan SLA de respuesta y una cuenta atrás normativa. El módulo recuerda los plazos; no sustituye la calificación jurídica.
SLA de respuesta
Cada playbook fija hitos con marca de tiempo: toma en consideración, encuadre, célula abierta, medidas cautelares. Sabe en qué punto está.
Notificación en 72 h
Violación de datos personales: se sigue la cuenta atrás de la CNIL (la autoridad francesa de protección de datos), los elementos que hay que reunir están preestructurados. La decisión de notificar se sigue calificando con sus interlocutores competentes.
Diario con marca de tiempo
Hechos, acciones y decisiones se fechan y se trazan sobre la marcha: un hilo con marca de tiempo, exportable para la aseguradora, el regulador o las lecciones aprendidas.
08 · ENTREGABLES
Una salida de crisis aprovechable ante un comité
El objetivo no es solo «reparar». Hay que explicar lo que ocurrió, lo que se decidió, lo que sigue siendo incierto y lo que debe reforzarse.
Síntesis para la dirección
Hechos, impacto, decisiones, riesgos residuales, próximos pasos.
Cronología del incidente
Señal inicial, acciones, pruebas, comunicaciones, decisiones.
Registro de pruebas
Elementos recogidos, fuente, fecha, utilidad, límites.
Plan de remediación
Prioridades a corto plazo, medidas estructurales, responsables, plazos.
Soporte para el comité / la aseguradora
Lectura clara para decidir, hacer el seguimiento o transmitir de forma controlada.
Lecciones aprendidas
Causas probables, desviaciones, puntos fuertes, trayectoria de resiliencia.
09 · LO QUE NO PROMETEMOS
Una gestión de crisis seria sabe decir no
La credibilidad se basa en una calificación prudente, en hechos trazables y en una distinción clara entre constatación, hipótesis y decisión. Ningún resultado está garantizado.
Ninguna atribución precipitada
Identificar a un autor o a un grupo requiere elementos sólidos. Una hipótesis no debe convertirse en certeza.
Ninguna garantía de recuperación
La recuperación depende de las copias de seguridad, del alcance afectado, de los accesos que siguen siendo fiables y del estado real del sistema de información.
Ninguna decisión jurídica automatizada
La notificación, la denuncia, la comunicación externa o la activación del seguro deben calificarse con los interlocutores competentes.
¿Una crisis cíber en curso?
Sospecha de intrusión, ransomware, cuenta crítica comprometida, fuga de datos: estabilice sin destruir las pruebas y exponga los hechos antes de cualquier acción irreversible. Abrimos una célula de crisis y mantenemos el hilo de las decisiones.
Vea la conducción del incidente en su contexto.
Una demo en directo de 30 minutos: playbooks con marca de tiempo, célula de crisis, diario de decisiones y notificación en 72 h, aplicados a su organización. Sin compromiso.