Plan de respuesta a incidentes en una hoja: quién llama a quién

Ransomware e incidentes12 de June de 2026

Un plan de respuesta a incidentes para una empresa pequeña cabe en una hoja, va impreso y sirve para una sola cosa: que nadie tenga que decidir en caliente lo que se puede decidir ahora. Esta es la plantilla, bloque a bloque, con lo que debe llevar cada uno.

4 min de lectura11 secciones

Por qué impreso

Porque el incidente puede afectar precisamente a los sistemas donde está guardado el plan. Un documento perfecto dentro de un servidor cifrado no ha servido de nada. Una copia impresa en un cajón conocido, y otra en casa de quien decide, cuestan cero.

Bloque 1: quién decide

Un nombre, no un cargo compartido. La persona que puede decir «paramos la producción», «llamamos al seguro» o «avisamos a los clientes». Con un suplente, porque los incidentes no esperan a que vuelvas de vacaciones.

Este bloque parece obvio y es el que más tiempo ahorra: sin él, la primera hora se va en averiguar quién tiene autoridad para tomar la primera decisión.

Bloque 2: la lista de teléfonos

Cuatro o cinco números de móvil, con nombre y función:

• Quien decide, y su suplente.
• Quien lleva los sistemas: interno o proveedor, con el número de contrato si lo hay.
• El proveedor de la aplicación crítica del negocio.
• El seguro, si hay ciberseguro, con el número de póliza.
• La asesoría jurídica o quien valore la notificación de brechas.

Móviles, no extensiones de centralita. Si el incidente afecta a la telefonía, las extensiones no responden.

Bloque 3: los primeros quince minutos

En imperativo, sin explicaciones. Algo así:

1. Desconectar de la red los equipos afectados. No apagarlos.
2. No conectar discos de copia ni memorias.
3. Avisar a la persona del bloque 1.
4. No borrar nada y no reinstalar nada.
5. Anotar la hora de detección y quién lo detectó.
6. Hacer fotos de lo que se vea en pantalla.

El «no apagarlos» conviene que esté escrito, porque el impulso natural es apagar y suele empeorar la recuperación.

Bloque 4: dónde está cada cosa

El bloque que más minutos ahorra en la práctica, porque es lo que se pasa buscando:

• Dónde están las copias de seguridad y cómo se accede a ellas.
• Dónde están las contraseñas de administración.
• Qué licencias hacen falta para reinstalar y dónde están los códigos.
• Proveedor de internet, de correo y de alojamiento, con número de cliente.
• Qué equipo o servicio es crítico y cuál puede esperar.

Bloque 5: cómo seguimos trabajando mientras tanto

Si no hay sistema de gestión, ¿se apunta en papel y quién lo pasa después? Si no hay correo, ¿qué teléfono se da a los clientes? Si no se puede facturar, ¿se entrega igual?

Decidirlo antes evita que cada persona improvise su propia solución y que luego nadie pueda reconstruir lo que pasó durante esos días.

Bloque 6: qué se comunica y a quién

Quién avisa a los clientes si les afecta, y con qué mensaje. Un par de frases preparadas evitan tanto el silencio como la explicación improvisada que después hay que corregir.

Y quién valora si hay que notificar a la autoridad de protección de datos, porque ese plazo empieza a correr desde que se tiene constancia y no espera a que termine la recuperación.

Bloque 7: cuándo se da por cerrado

Una frase con criterios comprobables: sistemas críticos operativos, copias funcionando de nuevo, vía de entrada identificada y cerrada, contraseñas cambiadas. Sin ese criterio, los incidentes se dan por cerrados cuando deja de doler, que es antes de estar resueltos.

Mantenerlo vivo

Un plan de respuesta caduca solo. Cambia un proveedor, se va una persona, se contrata un servicio nuevo y el documento sigue diciendo lo de antes.

• Revisión semestral con fecha en el calendario. Diez minutos.
• Revisión obligatoria cuando alguien de la lista deja la empresa.
• Un ensayo al año, aunque sea sobre el papel: media hora recorriendo un supuesto en voz alta. Aparecen agujeros que leyendo no se ven, como que nadie sabe la contraseña del panel del hosting.

Empezar hoy

Coge un folio y rellena los bloques 1, 2 y 4. Son los que más valor tienen y se pueden completar sin ayuda externa en veinte minutos. El resto se añade la semana que viene.

Lo preparamos con nuestros clientes como parte de los planes de acompañamiento, porque es lo que decide si un incidente dura un día o una semana. Si quieres montarlo para tu empresa, escríbenos y lo hacemos juntos.