Recursos · 21
Triaje de un ciberincidente y preservación de la evidencia temprana
Convertir una señal confusa en una línea de tiempo, hipótesis, decisiones y escalada proporcionada.
Actualizado · 3 min
Lo que esta guía ayuda a lograr
- Recibir una señal útil
- Preservar contexto
- Evaluar impacto
- Organizar decisiones
Comprobación rápida
- ¿Quién vio qué, dónde y cuándo?
- ¿Qué fuentes o rastros pueden desaparecer?
- ¿Qué servicios, cuentas y datos podrían verse afectados?
- ¿Quién autoriza medidas inmediatas?
- ¿Cuándo se revisará la evaluación?
Método paso a paso
- 1
Abrir un registro de caso
Registrar la señal inicial, hora, observador, sistemas afectados y canal de reporte. Asigne un propietario del caso y un suplente.
Entregable: registro de incidentes con marca de tiempo.
- 2
Separar hecho de hipótesis
Listar observaciones, fuentes y confianza verificables. Plantee posibles escenarios sin asumir origen ni alcance.
Entregable: cronograma fáctico e hipótesis comprobables.
- 3
Preservar material volátil
Identificar registros, alertas, mensajes y estados del sistema útiles; conservar copias según procedimientos internos y acceso a registros. Evite cambios que destruyan rastros.
Entregable: inventario inicial de evidencias y registro de manejo.
- 4
Evaluar alcance e impacto
Mapear activos, cuentas, datos y recorridos comerciales potencialmente afectados. Registra lo confirmado, descartado o desconocido y el coste de la espera.
Entregable: mapa de alcance y nivel de impacto provisional.
- 5
Decidir y escalar
Elegir medidas de protección proporcionadas, especialistas y partes interesadas para informar según los requisitos aplicables. Registre al tomador de decisiones y su justificación.
Entregable: registro de decisiones y plan de comunicación.
- 6
Reevaluar y aprender
Establecer la próxima actualización de situación, agregar nueva evidencia y conectar causas y brechas con el trabajo correctivo después del cierre.
Entregable: actualizaciones fechadas y lecciones aprendidas.
Indicadores de gestión
| Indicador | Qué mide | Primera acción |
|---|---|---|
| Hora de realizar el triaje | Tiempo desde la señal hasta el primer alcance documentado | Aclarar escalada |
| Seguimiento de decisión | Decisiones con tiempo, dueño y fundamento | Completar el registro |
| Cobertura de pruebas | Fuentes críticas identificadas y preservadas | Corregir lagunas de recopilación |
| Reevaluación | Hipótesis revisadas en puntos de control acordados | Alcance de la actualización |
Errores comunes
- Borrado de huellas por acción prematura
- Anunciar una causa antes de la validación
- Manteniendo cronogramas contradictorios
- No fechar una decisión o revisar un supuesto
Preguntas frecuentes
¿Toda alerta es una incidencia?
No. El triaje determina si las observaciones justifican una respuesta formal y puede cambiar a medida que se desarrolla la evidencia.
¿La protección debe esperar hasta que se sepa todo?
No. Las medidas proporcionadas pueden limitar el daño mientras continúa la investigación, siempre que se registren sus efectos sobre las pruebas y la notificación.
¿Qué se puede comunicar inicialmente?
Hechos confirmados, efectos conocidos, acciones actuales y próxima actualización. La causa y el alcance siguen siendo provisionales hasta que se establezcan.
Referencias oficiales
Las referencias respaldan el método. Adapte los controles a su contexto; no constituyen certificación. Los títulos de referencia originales y los documentos fuente pueden estar en otro idioma.
