Puntos clave
- Un plan de respuesta a incidentes se arma en cuatro fases: preparación, detección y análisis, contención con erradicación y recuperación, y lecciones aprendidas.
- Las empresas que contienen una brecha en menos de 200 días pagan 3.87 millones de dólares frente a 5.01 millones de las que tardan más (IBM, 2025).
- El 95% de la seguridad recae en la prevención: tener roles y responsabilidades definidos antes del incidente es lo que evita el caos.
- El ransomware aparece en el 88% de las brechas en pequeñas y medianas empresas, así que ningún negocio es demasiado chico para ser blanco (Verizon, 2025).
Un plan de respuesta a incidentes es el documento que le dice a su empresa qué hacer, quién lo hace y en qué orden cuando alguien logra meterse a sus sistemas. Sirve de guion para que, el día del ataque, nadie corra sin saber a quién llamar, y aplica igual para el corporativo grande que para el changarro. En RealNet lo decimos siempre: no hay nada 100% seguro, pero el 95% de la seguridad recae en la prevención, y un buen plan de respuesta a incidentes es prevención pura.
Les platico algo que hemos visto demasiadas veces. Llega el lunes, alguien prende la computadora y en lugar del escritorio aparece una pantalla pidiendo rescate. El servidor está cifrado. Nadie sabe qué hacer. ¿A quién le hablo? ¿Apago todo? ¿Pago? En esos primeros minutos se decide si la empresa pierde unas horas o se va a la era de casi piedra. Desde 1993 que fundamos RealNet, y desde 1997 metidos de lleno en ciberseguridad, hemos atendido entre 2 a 4 empresas por semana con este tipo de emergencias. La diferencia entre las que salen bien libradas y las que casi desaparecen casi siempre es la misma: unas tenían un plan y otras no.
¿Cuáles son las fases de un plan de respuesta a incidentes?
Un plan de respuesta a incidentes se organiza en cuatro fases según el estándar más usado del mundo, el NIST SP 800-61: preparación, detección y análisis, contención con erradicación y recuperación, y actividad posterior al incidente. El dinero y el tiempo que usted invierta en la primera fase es el que le ahorra el desastre en las demás. En 2025, las empresas que contuvieron una brecha en menos de 200 días pagaron 3.87 millones de dólares, frente a 5.01 millones de las que tardaron más, según el reporte Cost of a Data Breach de IBM (IBM, 2025). Esa diferencia de 1.14 millones de dólares es, básicamente, el valor de tener un plan.
Veamos cada fase en palabras llanas:
1.- Preparación. Es todo lo que se hace antes de que pase nada: respaldos probados, inventario de sistemas, contactos de emergencia, herramientas de monitoreo y gente capacitada. Aquí es donde cabe la gestión de incidentes de seguridad del día a día.
2.- Detección y análisis. Reconocer que algo malo está pasando y entender qué es. ¿Es un correo raro o es el servidor completo cifrado? Mientras más rápido detecte, más barato sale.
3.- Contención, erradicación y recuperación. Frenar el sangrado, sacar al intruso y volver a operar desde respaldos limpios.
4.- Actividad posterior al incidente. Sentarse a ver qué falló y qué aprendimos para que no vuelva a pasar.
Si quiere el detalle técnico de cada fase, el documento del NIST es la referencia pública y gratuita (NIST SP 800-61 Rev. 3). Para la fase de preparación, una base sólida es nuestra regla de respaldo 3-2-1 para empresas: sin respaldos limpios, la fase de recuperación simplemente no existe.
¿Qué roles y responsabilidades debe tener el equipo?
El equipo de respuesta a incidentes necesita nombres y apellidos asignados antes de la emergencia, no a media crisis. El mayor error que hemos visto es que, cuando truena todo, nadie sabe quién decide. Hemos atendido empresas donde tres personas apagaban y prendían el mismo servidor al mismo tiempo, borrando evidencia. Por eso el primer paso es puramente de organización: definir quién manda.
Estos son los papeles mínimos que sugerimos, aunque una persona cubra varios en una empresa chica:
1.- Líder del incidente. Toma las decisiones y coordina. Es el único que autoriza apagar sistemas o llamar a terceros.
2.- Equipo técnico. Analiza, contiene y recupera. Puede ser personal interno o un proveedor como RealNet operando como su centro de operaciones de seguridad.
3.- Responsable de comunicación. Define qué se dice, a quién y cuándo. Dentro y fuera de la empresa.
4.- Área legal. Acérquese a su abogado desde el minuto uno si hay datos personales de por medio.
5.- Dirección. El dueño o la gerencia que respalda las decisiones y aprueba el presupuesto de emergencia.
Muchas pequeñas y medianas empresas no tienen gente de planta para esto, y está bien. Ahí es donde servicios administrados de detección y respuesta hacen sentido. En RealNet operamos esa función con MdrGuru y vigilancia continua con RadarGuru, para que usted no dependa de que alguien note el problema a las 3 de la mañana. Si está evaluando este modelo, le ayudará nuestra guía sobre qué es un SOC y por qué tu empresa lo necesita.
¿Cómo contener y erradicar una amenaza?
Contener significa frenar el daño para que no se extienda; erradicar es sacar al atacante por completo. El tiempo aquí lo es todo. En 2025, el tiempo promedio para identificar y contener una brecha fue de 241 días, el más bajo en nueve años, pero sigue siendo una eternidad para un negocio que no puede facturar (IBM, 2025). Cada día que el intruso sigue adentro es dinero que se va.
¿Qué hacer para contener? Les comparto el orden que seguimos en campo:
1.- Aislar, no apagar a lo loco. Desconecte de la red los equipos afectados, pero no borre ni reinicie sin pensar. Apagar mal destruye evidencia que después necesita el análisis.
2.- Cambiar contraseñas y cerrar accesos. Sobre todo las cuentas con privilegios y los accesos remotos.
3.- Identificar el punto de entrada. Casi siempre es un correo. El ransomware aparece en el 88% de las brechas de pequeñas y medianas empresas (Verizon, 2025), y una buena parte entra por phishing. Por eso conviene capacitar a la gente para detectar el phishing a tiempo.
4.- Erradicar desde la raíz. Reinstalar sistemas limpios y restaurar desde respaldos verificados. Aquí es donde BackupGuru salva empresas: si el respaldo también está cifrado, no hay recuperación que valga.
Una advertencia que repetimos: quien les diga que les garantiza el 100% de recuperar todo, que se los firme con sangre. La recuperación depende directamente de qué tan bien prepararon la primera fase.
Comunicación interna y con autoridades
La comunicación mal manejada hace tanto daño como el propio ataque. Adentro, la gente necesita saber qué puede y qué no puede hacer: no reenviar correos sospechosos, no comentar en redes, a quién reportar. Afuera, un mensaje a destiempo o una mentira pueden costar la confianza de clientes que tardó años en ganar. A los empresarios nos cuesta mucho hacer una empresa, y una crisis mal comunicada la tumba en días.
En México, si el incidente comprometió datos personales, hay obligaciones legales que atender. No improvise: acérquese a su abogado y defina con él qué se notifica y a quién. Documente todo desde el primer minuto, con fecha y hora. Esa bitácora le sirve para las autoridades, para su aseguradora y para la fase de lecciones aprendidas. Un principio sencillo que damos a nuestros clientes: una sola voz vocera, hechos confirmados, nada de especular en caliente.
Hacia afuera, avise temprano a los clientes afectados lo que necesitan saber para protegerse, sin adornos. La transparencia bien hecha, con calma y con hechos, suele costar menos que el silencio.
Lecciones aprendidas y mejora continua
La fase de lecciones aprendidas es la que casi todos se saltan, y es la más valiosa. Cuando el fuego se apagó y la empresa volvió a operar, viene la pregunta incómoda: ¿cómo evitamos que vuelva a pasar? El ransomware estuvo presente en el 44% de las brechas analizadas a nivel global en 2025, un aumento frente al año anterior (Verizon, 2025). Los atacantes mejoran cada año; su plan también tiene que mejorar.
Reúna al equipo pocos días después del incidente, con todo fresco, y respondan sin buscar culpables:
1.- ¿Qué detectamos y qué tardamos en detectarlo?
2.- ¿Por dónde entraron y cómo cerramos esa puerta?
3.- ¿Qué funcionó del plan y qué nos faltó?
4.- ¿Qué cambiamos hoy para que no se repita?
De cada incidente salen ajustes concretos: un respaldo más, una capacitación de ciberconciencia, una regla nueva en el correo, un simulacro al trimestre. Tapar el pozo después del niño ahogado es caro, pero no volver a taparlo es imperdonable. Esa es la mejora continua que convierte un susto en una empresa más fuerte.
Mi sugerencia concreta para hoy: no espere al lunes del ataque. Siéntese esta semana con su equipo, escriba quién hace qué y pruebe si sus respaldos de verdad se restauran. Si quiere que lo acompañemos a armar o revisar su plan de respuesta a incidentes, en RealNet llevamos desde 1993 en esto y con gusto lo ayudamos. Visítenos en realnet.com.mx y escríbanos. Recuerde: nosotros somos ese 95% de prevención para su empresa. Crecemos juntos.
Preguntas frecuentes
¿Qué es un plan de respuesta a incidentes?
Es un documento que define qué hacer, quién lo hace y en qué orden cuando ocurre un ataque o fuga de información. Marca las fases, los roles y los canales de comunicación para contener el daño rápido.
¿Cuáles son las fases de un plan de respuesta a incidentes?
Según el NIST son cuatro: preparación, detección y análisis, contención con erradicación y recuperación, y actividad posterior al incidente o lecciones aprendidas.
¿Mi empresa pequeña necesita un plan de respuesta a incidentes?
Sí. El ransomware aparece en el 88% de las brechas en pequeñas y medianas empresas (Verizon, 2025). Un plan simple pero practicado hace la diferencia entre cerrar unas horas o desaparecer.
¿Debo avisar a las autoridades si sufro un incidente?
Depende del tipo de dato comprometido. Si hay datos personales de por medio, hay obligaciones legales en México. Acérquese a su abogado y documente todo desde el primer minuto.
