Preparar antes de que pase

Prepararse no es escribir un documento y guardarlo: es dejar resueltas, en frío, las decisiones que el incidente no deja tomar con calma. Eso son cuatro cosas concretas: los roles asignados con nombre (quién coordina, quién analiza, quién comunica), un directorio de contactos al día (equipo, dirección, proveedores), unas copias de seguridad que existen y se sabe que funcionan, y un canal de comunicación alternativo por si el habitual está comprometido. Con eso, cuando salta la alarma, el equipo ejecuta en vez de improvisar.

La prueba de que un plan está preparado no es que esté escrito, sino que sirva a las tres de la madrugada sin que nadie tenga que rellenar un hueco sobre la marcha.

Dentro de la preparación, las copias de seguridad son el punto donde más se confía sin comprobar. Que una copia «se haga» cada noche no significa nada hasta que alguien la ha restaurado de prueba al menos una vez: una copia corrupta, incompleta o cifrada con una clave que se perdió se ve idéntica a una buena hasta el día en que la necesitas. Y ese día, si falla, no hay segunda oportunidad —la recuperación dependía justo de ella—.

Por eso un plan listo no dice «hacemos copias», dice «restauramos una copia de prueba y funcionó». La diferencia entre las dos frases es todo el valor de la fase de recuperación.

La preparación incluye prever que el propio ataque afecte a cómo te comunicas. Si el atacante está dentro del correo interno, coordinar la respuesta por ese mismo correo es escribirle las decisiones al atacante: qué sabes, qué vas a hacer y cuándo. Un plan preparado define un canal fuera de banda —un medio distinto del comprometido— para que el equipo se coordine sin que el intruso lea la jugada. Es una decisión barata de tomar antes y imposible de improvisar en mitad del incidente.

Comunicarse por un medio que el atacante quizá controla convierte la respuesta en una conversación a tres, donde el tercero no invitado va siempre un paso por delante.

Abre el laboratorio de la preparación de Molino Textil. Hay tres versiones del plan guardadas: dos están a medias —una sin contactos, otra con copias sin verificar— y una está lista para activarse, con los roles asignados, los contactos al día, las copias restauradas de prueba y el canal alternativo. Esa versión, y solo esa, lleva anotado el código de la sala.