Un incidente cibernético puede convertirse rápidamente en una crisis operativa, contractual, regulatoria y reputacional. La respuesta corporativa debe contener el daño sin destruir evidencia, identificar qué obligaciones se activan y comunicar sólo información verificada. En México no existe un único plazo aplicable a todo evento: importan los datos comprometidos, el sector, los contratos y la póliza. Este protocolo resume decisiones esenciales para una respuesta coordinada. Es material informativo y no constituye asesoría legal.
Las primeras horas
La prioridad inicial es activar un mando claro que reúna tecnología, dirección, jurídico, privacidad, continuidad y comunicación. El equipo debe abrir una bitácora con hora, fuente del hallazgo, sistemas afectados, decisiones y responsables. Contener puede implicar aislar equipos, revocar credenciales o bloquear conexiones, pero conviene preservar imágenes, registros y demás evidencia antes de alterar el entorno cuando sea viable. También se debe clasificar la criticidad, confirmar respaldos y delimitar qué operaciones pueden continuar de forma segura. Un mensaje interno breve evita rumores y cambios improvisados. La negociación con atacantes, el contacto con autoridades o cualquier pago requieren evaluación separada de legalidad, sanciones, cobertura, trazabilidad y riesgo de reincidencia.
Evaluar avisos y comunicaciones
El análisis jurídico debe distinguir entre indisponibilidad, acceso no autorizado, pérdida, alteración y extracción de información. Si existen datos personales, hay que determinar categorías, titulares, volumen, protección aplicada y posible afectación. La ley de datos personales ordena informar inmediatamente a las personas cuando la vulneración afecte de forma significativa sus derechos patrimoniales o morales. Además pueden existir avisos sectoriales, contractuales, aseguradores o corporativos con destinatarios y tiempos distintos. CERT-MX ofrece canales para reportar y coordinar incidentes, pero ese canal no convierte todos los eventos en una obligación general de denuncia. Cada comunicación debe ser consistente, útil y basada en hechos; especular o prometer una recuperación sin sustento puede agravar la exposición.
Recuperar y aprender
Antes de restaurar, el equipo debe identificar la causa raíz, cerrar el vector de entrada y comprobar la integridad de respaldos. Después conviene rotar secretos, vigilar persistencia, priorizar servicios críticos y registrar los criterios de retorno. El cierre no ocurre cuando vuelve el sistema: hace falta conciliar evidencias, notificaciones, costos, decisiones del seguro y compromisos con clientes. Una revisión posterior debe traducir el incidente en controles concretos, como autenticación reforzada, segmentación, parches, mejores registros o ajustes contractuales. El informe final debe separar hechos confirmados, inferencias y asuntos pendientes, así como definir dueños y fechas. Simulacros regulares permiten comprobar que teléfonos, facultades y proveedores siguen disponibles cuando realmente se necesitan.
Puntos clave
- Contener el incidente y preservar evidencia deben ocurrir de forma coordinada.
- No todos los eventos activan los mismos destinatarios ni los mismos plazos de aviso.
- Las comunicaciones deben basarse en hechos confirmados y una evaluación documentada.
- La recuperación incluye causa raíz, vigilancia posterior y mejora de controles.
Qué conviene revisar
- Definir un equipo de respuesta, suplencias y facultades antes de que ocurra una crisis.
- Preparar una matriz de avisos legales, contractuales, sectoriales y de seguro.
- Ejecutar un simulacro y convertir sus hallazgos en tareas con responsable y fecha.