El control número diecisiete de los CIS parte de la aceptación madura que recorre toda la seguridad seria: algún día vas a tener un incidente. No es cuestión de si, sino de cuándo. Y el peor momento para decidir qué hacer es durante la crisis, con los sistemas cayendo, el teléfono sonando y todos mirándote. El Control 17 pide lo que distingue a quien sobrevive bien de quien se hunde: tener un plan de respuesta a incidentes preparado y practicado antes de necesitarlo.
Por qué improvisar sale carísimo
Cuando un incidente golpea sin plan, se pierde lo más valioso: tiempo y claridad. Nadie sabe quién decide, a quién llamar, qué desconectar, cómo comunicar, en qué orden actuar. Se toman decisiones apresuradas —apagar lo que no se debía, borrar evidencia sin querer, comunicar mal—, y el daño se multiplica no por el ataque en sí, sino por el caos de la respuesta. Un plan convierte el pánico en procedimiento: cada quien sabe su papel, las decisiones difíciles ya se pensaron en frío, y la organización actúa en lugar de congelarse. La diferencia entre un incidente contenido en horas y uno que se desborda en días suele ser, precisamente, si había un plan.
Qué pide en la práctica
- Un plan de respuesta a incidentes documentado: qué se considera un incidente, quién hace qué, a quién se escala.
- Roles y contactos definidos: quién lidera, quién decide desconectar, a quién se avisa (interno, legal, autoridades, clientes si aplica). Con datos de contacto que funcionen a las 3 a.m.
- Procedimientos concretos para las fases: detectar, contener, erradicar, recuperar y aprender. Es la esencia de un buen runbook de respuesta.
- Practicarlo: simulacros y ejercicios, porque un plan que nunca se ensayó falla justo cuando se necesita.
El aterrizaje honesto
Un plan de respuesta no evita los incidentes —eso es trabajo de los otros controles—; hace que, cuando ocurran, no se conviertan en catástrofes. Y su valor solo aparece si de verdad se prepara y se practica: un documento que se escribió una vez y se archivó no sirve más que la ausencia de plan, porque nadie lo recuerda bajo presión. Este control es primo de la continuidad del negocio y la recuperación ante desastres: distintos ángulos de la misma pregunta madura —¿qué hacemos cuando, no si, algo sale mal?—. Tenerlo listo es la diferencia entre responder y solo reaccionar.
Preguntas frecuentes
help ¿Una empresa pequeña necesita un plan de respuesta a incidentes?
Sí, aunque más sencillo que el de una gran corporación. No hace falta un documento enorme: basta con tener claro qué se considera un incidente, quién lidera, a quién llamar (incluido apoyo externo si no hay experto interno) y los primeros pasos para contener. Incluso un plan básico preparado en frío es muchísimo mejor que improvisar durante la crisis. El tamaño del plan se ajusta a la organización; la necesidad no desaparece.
help ¿Qué diferencia hay entre respuesta a incidentes y un plan de recuperación ante desastres?
Se solapan pero tienen énfasis distintos. La respuesta a incidentes se enfoca en gestionar el evento de seguridad: detectar, contener, erradicar la amenaza y aprender. La recuperación ante desastres se enfoca en restaurar los sistemas y datos para volver a operar. Un ciberataque serio activa ambos: respondes al incidente y recuperas lo afectado. Son piezas complementarias de estar preparado para cuando algo sale mal.
help ¿Por qué hay que practicar el plan y no solo tenerlo escrito?
Porque bajo la presión de un incidente real, un plan que nadie ensayó suele fallar: la gente no recuerda su rol, los contactos están desactualizados, los pasos no se siguen. Los simulacros revelan esos huecos en un entorno seguro y crean la memoria y la coordinación que se necesitan en la crisis. Un plan practicado se ejecuta; uno solo archivado se olvida justo cuando más importa.
Rubén Espinoza es fundador y Director Técnico de IT Experts de México. Trabaja en la industria de TI desde 1998: diseña y opera soluciones de infraestructura, ciberseguridad, continuidad, automatización y tecnología OT para entornos empresariales e industriales. Escribe desde proyectos reales y sistemas en producción.
Ver perfil y todos sus artículos →