Qué contiene
- El alcance y qué cuenta como incidente.
- El equipo, con suplentes y datos de contacto guardados fuera de sus sistemas principales.
- Los niveles de gravedad y a quién se llama en cada uno.
- Los pasos de cada fase.
- La comunicación interna, a clientes, a reguladores y a la prensa: quién dice qué.
- Los plazos legales y contractuales.
- El tratamiento de las pruebas.
- Cómo cerrar y aprender.
Las fases
La revisión 2 de la NIST SP 800-61 (2012) describía cuatro fases. La revisión 3, publicada en abril de 2025, la sustituye y alinea la respuesta a incidentes con las funciones del NIST Cybersecurity Framework 2.0. Las cuatro fases siguen siendo una base sencilla para redactar un plan:
- Preparación: herramientas, contactos, formación.
- Detección y análisis: confirmar, calificar, registrar.
- Contención, erradicación y recuperación: detenerlo, eliminar la causa, restaurar con seguridad.
- Actividad posterior al incidente: revisar lo ocurrido y mejorar.
Plazos legales que incluir
- RGPD: 72 horas para notificar a la autoridad una brecha de datos personales notificable.
- NIS2: alerta temprana en 24 horas, notificación en 72 horas, informe final en el plazo de un mes.
- HIPAA: sin demora injustificada y en un máximo de 60 días naturales.
- DORA: plazos fijados por las normas técnicas para los incidentes graves relacionados con las TIC.
Probarlo
Haga un ejercicio de simulación sobre el papel al menos una vez al año, con la dirección y con la persona que hablará con los clientes. Actualice el plan con lo que aprenda, y después de cada incidente real.
Preguntas
- ¿Qué diferencia hay entre un evento y un incidente?
- Un evento es algo observado, como un inicio de sesión fallido. Un incidente es un evento que daña o amenaza la seguridad y exige una respuesta.
- ¿Quién debe dirigir la respuesta a incidentes?
- Un responsable de incidentes designado, con un suplente, con autoridad para tomar decisiones como desconectar un sistema.