1. Introducción
Un incidente de ciberseguridad no es una cuestión de «si ocurre», sino de «cuándo ocurre». Las estadísticas son tozudas: la mayoría de las empresas españolas que sufren un ataque relevante no lo detecta por sus propios medios, sino por un tercero: un cliente que avisa, una aseguradora que llama o la policía que se presenta. El tiempo que pasa entre el compromiso y la detección, el llamado dwell time, convierte cada incidente de ciberseguridad no detectado a tiempo en una factura mucho mayor. Por eso la pregunta correcta no es cómo evitar todo incidente de ciberseguridad, sino cómo responder cuando llegue de forma ordenada y rápida.
Una empresa sin procedimiento de respuesta convierte un problema pequeño en una crisis. En cambio, un equipo que sabe exactamente qué hacer en las primeras 24 horas puede limitar el daño a un susto. La diferencia no la marca la suerte: la marca la preparación. En este artículo desglosamos la respuesta ante un incidente de ciberseguridad en siete pasos, con tiempos objetivo, comandos prácticos y las decisiones que debes tomar antes de que ocurra nada.
Esta guía está pensada para directivos y responsables de TI de PYMEs, no para técnicos forenses: prioriza qué decidir en cada fase y qué no hacer jamás. Porque en la respuesta a incidentes, los errores más caros no son técnicos, son de gestión: destruir pruebas, apagar servidores sin resguardo o notificar de forma precipitada.
En Jaymon Security acompañamos a empresas en todo el ciclo de vida de un incidente de ciberseguridad, desde la preparación del plan hasta la contención y el análisis forense posterior. Aquí te explicamos cómo funciona por dentro, paso a paso.
2. Las 7 fases de la respuesta ante un incidente de ciberseguridad
El modelo de referencia que seguimos en el sector, alineado con los estándares del NIST y de ENISA, estructura la gestión en siete fases con tiempos objetivo realistas para una PYME:
| Paso | Fase | Objetivo | Tiempo objetivo |
|---|---|---|---|
| 1 | Detección | Identificar la anomalía (alerta, aviso o hallazgo) | Continuo |
| 2 | Triaje y clasificación | Determinar alcance, severidad y responsables | < 1 hora |
| 3 | Contención | Aislar y frenar la propagación | < 4 horas |
| 4 | Erradicación | Eliminar la amenaza y los accesos del atacante | < 48 horas |
| 5 | Recuperación | Restaurar servicios y datos verificados | 2-7 días |
| 6 | Análisis forense | Evidencias, causa raíz y responsabilidades | 1-3 semanas |
| 7 | Mejora continua | Actualizar el plan, los controles y la formación | 30 días |
Fig. 1 – Las siete fases de gestión de un incidente de ciberseguridad con sus tiempos objetivo.
No todas las fases requieren el mismo nivel de urgencia, pero la secuencia sí es obligatoria: saltarse la contención para empezar a restaurar suele re-infectar el entorno, y borrar pruebas durante la erradicación destruye el análisis posterior. Cada incidente de ciberseguridad es único, pero el proceso no debe ser improvisado. Esta estructura, además, es la que las aseguradoras revisan cuando evalúan cómo gestionaste la crisis: un incidente de ciberseguridad gestionado con método es mucho más fácil de indemnizar que uno improvisado.
3. Pasos 1 y 2: Detección, triaje y clasificación
La detección empieza antes del incidente: son las alertas del EDR, los avisos del servicio de monitorización, las copias de seguridad que empiezan a fallar sin motivo o un empleado que reconoce el correo de phishing que acaba de abrir. También los avisos externos: un cliente que recibe un correo raro «desde tu empresa» es, en la práctica, una alarma de detección gratuita que muchas organizaciones ignoran. Y hay incidentes de ciberseguridad que se descubren en el momento más inesperado: durante una auditoría, una revisión de logs o un cambio de proveedor.
3.1. Clasificar bien el incidente de ciberseguridad para priorizar la respuesta
El triaje responde a tres preguntas en menos de una hora: ¿qué sistemas están afectados?, ¿hay datos sensibles implicados? y ¿el acceso del atacante sigue activo? Con las respuestas se clasifica la severidad: baja (un correo phishing no abierto), media (un endpoint comprometido aislado), alta (servidores o backups cifrados) o crítica (datos exfiltrados o impacto en clientes). La clasificación decide quién se entera, qué se apaga y qué se notifica, también legalmente: el RGPD exige notificar a la autoridad en 72 horas si hay datos personales implicados.
En esta fase el error clásico es reaccionar en solitario: un técnico que «va a mirar» sin informar a dirección. Todo incidente de ciberseguridad relevante debería activar desde el minuto uno un canal de decisión predefinido con tres roles: quien coordina, quien decide económicamente y quien habla con la aseguradora y, si hace falta, con la autoridad. En la práctica, la mayoría de los incidentes de ciberseguridad empresariales se clasifican como media o alta: los ataques automatizados rara vez producen incidentes triviales.
4. Pasos 3 y 4: Contención y erradicación
La contención persigue un único objetivo: frenar la propagación, aunque sea sacrificando servicios. En un incidente de ciberseguridad activo, cada minuto que la amenaza sigue moviéndose por la red incrementa el coste final. Las medidas de contención inmediata son mecánicas y conocidas, y no son el momento de discutir SLA ni de esperar autorizaciones burocráticas: contener un incidente de ciberseguridad es ejecutar el playbook, no improvisarlo:
# Contencion rapida: bloquear el host comprometido en el firewall
iptables -A FORWARD -s 10.0.1.27 -j DROP
# Listar conexiones activas sospechosas desde el equipo afectado
ss -tnp | grep ESTAB | grep -v "192.168.1."
# Cambiar la contrasena de la cuenta comprometida y forzar cierre
pkill -u empleado_sospechoso
passwd -e empleado_sospechosoFig. 2 – Comandos básicos de contención de un incidente de ciberseguridad para un equipo comprometido.
Atención a lo que no debes hacer: no apagues el equipo afectado si vas a contratar un análisis forense (el apagado destruye la memoria RAM, donde están las mejores evidencias), no borres el disco, y no restores desde backups hasta haber identificado el vector de entrada: si el backup se hizo con la puerta abierta, la puerta restaurada seguirá abierta.
La erradicación consiste en eliminar el acceso del atacante: cuentas creadas, puertas traseras, programación de tareas maliciosas, claves SSH plantadas y el mecanismo de persistencia exacto. Es la fase donde el trabajo minucioso paga: un atacante reincidente que sigue dentro convertirá la recuperación en un bucle infinito. Y un incidente de ciberseguridad mal erradicado se descubre semanas después, en la siguiente auditoría o en el siguiente ataque.
5. Pasos 5 y 6: Recuperación y análisis forense
La recuperación devuelve la operación a la normalidad con datos verificados: restaurar desde las últimas copias limpias, cambiar todas las contraseñas y claves, validar la integridad de los ficheros restaurados y volver a abrir servicios de forma gradual. La tentación de «levantar todo ya» es la enemiga: una recuperación ordenada vale más que una rápida. En un incidente de ciberseguridad con cifrado de datos, además, la recuperación depende casi por completo de la calidad de las copias de seguridad previas.
El análisis forense, en paralelo, responde a las preguntas que no pueden esperar: ¿qué datos se llevó el atacante?, ¿cómo entró?, ¿desde dónde? Sus conclusiones alimentan la notificación legal y el informe para la aseguradora, y siguen la estructura de los playbooks de respuesta a incidentes de CISA. Si el incidente puede acabar en procedimiento judicial o reclamación, el resguardo de evidencias tiene reglas propias: imagen forense, cadena de custodia y herramientas auditadas.
# Primera pasada forense sobre un volcado de memoria RAM
volatility -f memoria_comprometida.raw windows.pslist
volatility -f memoria_comprometida.raw windows.netscan
# Inventario de conexiones y procesos con correlacion temporal
log2timeline.py /evidencia/inc-2026 timeline.plaso /imagen_forense/
# Cadena de custodia: hash de la imagen antes de analizarla
sha256sum imagen_forense.dd > cadena_custodia.txtFig. 3 – Comandos forenses básicos tras un incidente de ciberseguridad sobre evidencias preservadas.
Un detalle que pocas empresas conocen: los logs de Windows solo conservan algunos eventos durante días, y los backups de seguridad rotan. Si no se preserva la evidencia en las primeras 48 horas, la causa raíz puede quedar irrecuperable. En un incidente de ciberseguridad con posible vía judicial, además, la preservación de evidencias es la primera obligación, antes incluso que la limpieza del sistema. Por eso los retainer de respuesta incluyen siempre una primera fase de preservación, antes de cualquier limpieza.
6. Paso 7: la mejora continua que cierra el círculo
La última fase convierte el incidente en ventaja: un informe de lecciones aprendidas, la actualización del plan de respuesta, el cierre de las vulnerabilidades detectadas y nuevas pruebas de los controles que fallaron. Las empresas que repiten incidentes de ciberseguridad casi siempre comparten el mismo patrón: ninguna implantó las acciones del informe anterior. Tras cada incidente de ciberseguridad gestionado, conviene además rehacer el análisis de riesgos: los activos que fallaron dejan de ser teóricos.
La preparación previa es lo que marca la diferencia práctica: tener un plan documentado, un retainer de respuesta con proveedor (idealmente con SLA de primera respuesta en menos de una hora), backups verificados y roles asignados reduce los tiempos de la tabla a una fracción. En Jaymon Security diseñamos estos planes y operamos la respuesta ante incidentes de ciberseguridad para empresas que no tienen un equipo forense propio, y lo primero que revisamos en cualquier cliente es precisamente el estado de esas cuatro piezas.
Si quieres un punto de partida inmediato para la gestión del próximo incidente de ciberseguridad, esta es la checklist mínima que recomendamos a cualquier PYME:
- Plan de respuesta de una página: contactos, roles y primera decisión en cada severidad.
- Backups 3-2-1 verificados con restauración probada el último trimestre.
- MFA activo en accesos remotos y cuentas privilegiadas.
- Retainer o acuerdo con un equipo de respuesta accesible 24/7.
- Procedimiento de preservación de evidencias en las primeras 48 horas.
Fig. 4 – Checklist mínima de preparación ante un incidente de ciberseguridad para PYMEs.
7. Conclusión
Un incidente de ciberseguridad es un examen que todas las empresas van a hacer tarde o temprano, con la preparación como única variable que pueden controlar. Las siete fases que hemos recorrido —detección, triaje, contención, erradicación, recuperación, forense y mejora continua— son el mismo marco que usan los equipos profesionales, y aplicarlo con tiempos objetivos es lo que separa a las empresas que pierden días de las que pierden horas.
En Jaymon Security ayudamos a las empresas a prepararse antes y a responder cuando ya es demasiado tarde para prepararse: planes de respuesta ante un incidente de ciberseguridad, retainer 24/7 y análisis forense posterior. Si quieres evaluar el estado real de tu preparación ante un incidente de ciberseguridad, podemos empezar por una conversación sin compromiso.
Artículos relacionados: qué hacer si tu empresa es víctima de un ransomware y por qué el ransomware entra por el escritorio remoto (RDP).
¿Necesitas ayuda con Incidente de ciberseguridad?
En Jaymon Security ayudamos a las organizaciones a proteger sus sistemas. Desde auditorías de seguridad hasta implementación de SIEM/SOC, nuestro equipo de expertos diseña soluciones a medida.
Contacta con nosotros para una evaluación gratuita de tu infraestructura.