Qué necesita saber quien contiene, y cuándo

La guía de NIST para incidentes de malware, SP 800-83 Rev. 1 (2013), se apoya en el ciclo de respuesta que describía la guía general de incidentes, SP 800-61 Rev. 2: preparación; detección y análisis; contención, erradicación y recuperación; y actividad posterior. En abril de 2025, NIST publicó la SP 800-61 Rev. 3, que sustituye a la de 2012 y reordena la respuesta con las seis funciones del marco CSF 2.0. Las preguntas al análisis no cambian con el dibujo: cambia dónde se colocan.

Lo útil es ver que cada fase le pide al análisis una respuesta distinta. La detección pregunta si es malware y de qué clase, y la guía recuerda algo práctico: si no se puede confirmar rápido, conviene responder como si lo fuera y corregir después. La contención pregunta dónde está la muestra, con quién habla y qué pudo llevarse. La erradicación pregunta qué deja para volver a arrancar y por qué hueco entró. La recuperación pregunta desde cuándo es seguro restaurar. La revisión posterior pregunta qué falló.

Quien analiza y no sabe en qué fase está la persona que pregunta acaba entregando un informe precioso a destiempo.

Abre el laboratorio. SELECT * FROM preguntas trae el tablero de la líder: cada pregunta con la fase en que se necesita, la decisión que alimenta, si bloquea la contención y si ya tiene respuesta.

Un tablero así se ordena por la decisión que cada pregunta tiene en espera, no por quién la hizo ni por cuál es más interesante. Una pregunta pendiente que bloquea la contención va antes que cualquier otra, porque mientras no se responde el daño puede seguir creciendo.

Hay preguntas legítimas que no alimentan ninguna decisión inmediata. Quién está detrás de un ataque es la más típica: importa para la inteligencia y para la revisión posterior, pero no cambia qué se aísla hoy. Si el equipo de análisis la persigue en plena contención, le quita horas a las que sí cambian algo.

Decir «esa queda para después» no es despreciar a quien pregunta: es decirle cuándo tendrá la respuesta y por qué.

El tiempo que tarda el análisis en contestar una pregunta de contención es tiempo en que el equipo de redes no puede bloquear nada. Es una medida concreta de lo que el análisis le cuesta a la respuesta, y es la que se revisa después para mejorar.

SELECT * FROM respuestas trae la hora de cada respuesta. La hora de la pregunta está en preguntas. Toma la pregunta que hizo el equipo de redes.

La pregunta pendiente que bloquea la contención todavía no tiene respuesta, y la líder no puede esperar dos días para decidir. Una respuesta honesta a medias tiene tres partes: lo que se sabe, lo que no se sabe y cuándo se sabrá, más una propuesta proporcionada mientras tanto. Lo que no puede hacer es convertir «no lo vimos» en «no lo hace».