Plan de respuesta a incidentes para pymes: cómo reaccionar sin improvisar

Cuando aparece una cuenta comprometida, un ransomware o una fuga de información, el problema no es solo técnico. La empresa debe decidir qué aislar, quién puede autorizarlo, qué evidencias conservar, cómo mantener la actividad y cuándo informar a clientes, proveedores o autoridades. Sin un plan escrito, cada minuto se consume buscando contactos y discutiendo prioridades.

Un plan útil para una pyme no necesita decenas de páginas. Debe ser breve, accesible fuera del entorno afectado y suficientemente concreto para que una persona de guardia pueda ejecutar los primeros pasos sin depender de memoria o intuición.

• Cómo declarar un incidente y quién puede elevar su prioridad
• Qué cuentas, equipos, dominios o servicios se pueden aislar de inmediato
• Quién conserva logs, imágenes, correos y otros indicios sin alterarlos
• Qué procesos críticos tienen prioridad para recuperar la operación
• Quién comunica internamente y quién responde a clientes, proveedores y asesores

• Responsable de incidente: coordina decisiones y mantiene una línea temporal
• Responsable técnico: contiene, recopila evidencias y ejecuta la recuperación
• Responsable de negocio: decide prioridades operativas y acepta riesgos temporales
• Responsable de comunicación y privacidad: prepara mensajes y consulta obligaciones aplicables
• Proveedor de apoyo: tiene teléfonos, alcance del servicio y condiciones de escalado documentados

Elige un escenario sencillo, como una cuenta de Microsoft 365 con reglas de reenvío desconocidas. Simula la alerta, localiza contactos, decide qué aislar, registra cada decisión y comprueba si existe una copia accesible de los datos críticos. Al terminar, corrige teléfonos, permisos, tiempos de recuperación y pasos ambiguos. El ejercicio convierte un documento estático en una capacidad operativa.