Contención y comunicación a clientes

Contener un servidor de herramientas comprometido tiene un orden que protege dos cosas a la vez: los datos que siguen en riesgo y la evidencia que hará falta para saber el alcance.

1. Preservar la evidencia del servidor (disco, memoria, registros) antes de tocarlo, porque lo que se reemplaza se pierde.
2. Cortar la salida hacia el destino del tercero: es lo que detiene el daño mientras se prepara lo demás.
3. Sacar la versión comprometida con una compilación limpia y fijada.
4. Rotar todo lo que el servidor tenía a su alcance: cada credencial en sus variables de entorno o en sus archivos, no solo la que parece más obvia. Si la dependencia corría dentro del proceso, pudo leer cualquiera de ellas.

Borrar el servidor y levantar uno nuevo parece rápido y deja dos huecos: se pierde la evidencia y, si las credenciales no se rotan, el tercero las sigue teniendo.

La bitácora dice qué se rotó. El inventario de credenciales del entorno del servidor dice qué había. La diferencia es lo que la contención todavía no cubre.

Se avisa a los clientes cuyos datos pudieron salir, no a todos los clientes ni solo a los que llamaron. Eso exige fijar la ventana con precisión: desde la primera conexión al tercero hasta el bloqueo de la salida. Hay que fijarse también en qué servicio leyó cada hoja, porque no todos los servicios con la versión mala tenían salida a internet, y en que un cliente puede aparecer en varias filas.

El plazo para avisar sale del contrato, y el contrato puede tener más de un plazo según el cliente. Los plazos legales dependen del país y de los datos afectados, y los fija el área jurídica; aquí se trabaja solo con el plazo contractual. El reloj empieza en la confirmación del incidente, no en el aviso externo ni en la primera conexión.

Un aviso a clientes sirve si les deja actuar: qué pasó, en qué fechas, qué datos suyos pudieron salir, qué hizo la empresa y qué les toca hacer a ellos. Culpar a «un proveedor externo» no les dice nada que puedan usar, y decir que no hay evidencia de impacto cuando sí la hay es lo que convierte un incidente en una pérdida de confianza.