Las fases y el orden

Un incidente se responde en fases, y el orden es el que da sentido a cada una: preparar (tener contactos, copias y procedimiento antes de que pase nada), detectar (notar que algo va mal), contener (frenar el daño sin destruir la evidencia), erradicar (sacar al atacante y lo que dejó), recuperar (volver a operar) y aprender (la retrospectiva que deja una regla nueva). No es burocracia: es sentido común estructurado. El valor de saberse el orden es que, con la máquina echando humo, no improvisas la secuencia.

El error de un respondedor sin método no es equivocarse en el análisis fino —para eso hay tiempo después—, sino saltarse una fase: erradicar antes de contener deja al atacante viéndote actuar; recuperar antes de erradicar reinfecta el sistema limpio.

Contener es frenar el sangrado; erradicar es limpiar. Se confunden, y confundirlas cuesta el caso. «Apagar y reinstalar» suena a contención rápida, pero destruye la memoria —donde vive el proceso malicioso que aún corre y las conexiones abiertas— y con ella la única prueba de qué estaba haciendo el atacante en ese momento. Contener bien es cortar la vía del atacante (aislar el equipo de la red, revocar la sesión) dejando la máquina encendida y quieta, para erradicar después con la evidencia ya a salvo.

La prisa por «dejarlo limpio» es la trampa: el sistema vuelve a operar, sí, pero nadie puede ya decir qué pasó, y si quedó una puerta trasera, vuelve a pasar.

Cuando salta la alarma, la reacción instintiva —desconectar cables, apagar, reiniciar, «probar cosas»— suele hacer más daño que el propio ataque, porque cada acción impulsiva pisa evidencia o alerta al atacante. Un respondedor con método hace lo contrario: anota la hora y los síntomas, avisa a quien tiene el procedimiento, y no toca la máquina hasta saber qué se va a adquirir y en qué orden. Registrar qué haces y cuándo lo haces es parte del trabajo: sin ese registro, tu propia intervención se vuelve indistinguible de la del atacante.

Nombrar el problema y seguir la secuencia es lo que separa una respuesta de una segunda catástrofe encima de la primera.

La última fase no es opcional ni es papeleo. La retrospectiva convierte el incidente en algo que la organización no repite: qué falló para que entrara, qué señal se pasó por alto, y —lo que de verdad importa— la regla nueva que deja al equipo detectándolo la próxima vez sin llegar tarde. Un incidente cerrado sin lección aprendida es un incidente que va a volver con otro nombre.

Por eso la ruta termina escribiendo un informe con causa raíz, lección y regla nueva: no es el adorno del final, es el producto que hace que todo el trabajo anterior sirva para algo más que apagar este fuego.

El criterio no se aprueba de memoria: se aprueba eligiendo bien. Abre el laboratorio de la apertura del caso de Molino Textil. En la carpeta hay tres planes de respuesta guardados; solo uno sigue el orden de las fases sin saltarse ninguna —aísla y adquiere antes de erradicar, y cierra aprendiendo—. Ese plan, y solo ese, lleva anotado al final el código de la sala.