La llamada de las 09:10

Contener es frenar el daño sin romper el caso. Un servidor que sirve a la planta no se trata igual que un puesto de oficina, pero la presión de producción no cambia lo que se pierde si el equipo se apaga o se reinicia: lo que solo vive en memoria y en las conexiones abiertas. Entre «no hacer nada» y «apagar de golpe» hay medidas que cortan lo que importa y dejan trabajar a lo demás.

Una contención en producción la ordena alguien con autoridad sobre esa producción, no el primero que se atreva. La matriz de autorización nombra roles, no personas. Y los roles tienen titulares que se van de vacaciones: antes de llamar, comprueba quién ocupa hoy el rol que la matriz exige.

Antes de actuar conviene inventariar qué pruebas siguen vivas y cuáles ya no. Un apagado normal destruye la memoria, y una prueba perdida no se recupera ni se disimula: se anota. Cada equipo del caso tiene un estado al llegar tú.

Alguien de TI apagó el servidor de archivos a las 08:40, antes de que existiera el incidente declarado, y lo hizo por una razón comprensible. El informe no es el lugar para repartir culpas ni para esconder lo que pasó: es el lugar para decir qué se puede probar y qué no.

El plan de respuesta fija plazos que empiezan a contar desde un momento concreto, que no es el de tu llegada ni el del primer aviso. Un plazo de contención que no sabes cuándo vence es un plazo que se incumple sin enterarte.