Qué información debe recoger el primer aviso de un incidente
El primer aviso de un incidente tiene que permitir localizar a la persona, identificar el sistema y decidir la urgencia sin exigir un diagnóstico.
Equipo enginerIT· 2 min de lectura
El primer aviso de un incidente tiene que permitir localizar a la persona, identificar el sistema y decidir la urgencia sin exigir un diagnóstico. Pide observaciones, hora, alcance visible y acciones ya realizadas. Lo desconocido se marca como pendiente; no debes retrasar el aviso hasta completar todos los campos.
Recoge un mínimo que permita actuar
Incluye nombre y contacto de retorno, equipo o aplicación, momento de detección con zona horaria y síntoma concreto. Es mejor «no puedo abrir las facturas y aparece este mensaje» que «nos han hackeado». Pide si el problema continúa y qué tarea del negocio impide. Si no conocen el identificador del equipo, admite ubicación y persona usuaria para localizarlo después.
Pregunta qué ocurrió antes y qué se ha hecho
Distingue recibir un correo, pulsar un enlace, descargar un archivo, introducir credenciales y aprobar una solicitud. Pregunta si han reiniciado, desconectado o llamado a un tercero. Cada acción puede cambiar los indicios disponibles. Formula las preguntas sin reproches; un empleado que teme consecuencias puede omitir justo el dato que permite contener el daño.
No conviertas el formulario en otra exposición
Ofrece un canal alternativo si el sistema afectado es el propio correo o el acceso corporativo. No pidas contraseñas, códigos de autenticación ni archivos sensibles en un chat general. Una captura puede ayudar a describir el síntoma, pero el equipo técnico decidirá qué evidencia completa necesita y por qué medio recogerla. El primer aviso no es todavía un informe forense.
Devuelve recepción y una instrucción inequívoca
Asigna referencia del caso, responsable de triage y medio para el siguiente contacto. Indica una acción provisional concreta aprobada, por ejemplo dejar de usar determinada aplicación, sin hacer promesas de recuperación. Si hay varios avisos iguales, relaciónalos conservando quién observó cada hecho. Prueba la plantilla con un caso hipotético incompleto: debe permitir contactar y priorizar aunque falten causa e impacto total. NIST SP 800-61r3 respalda el triage y la documentación de incidentes; los campos propuestos adaptan ese objetivo a un aviso de pyme.
Comprobaciones para cerrar la tarea
- ✓ El aviso identifica un contacto y un sistema localizable.
- ✓ La hora de observación está separada de la de envío.
- ✓ Hay acuse de recibo, referencia e instrucción provisional.
Fuentes y documentación
- NIST · SP 800-61 Rev. 3 — Preparación, análisis, registro y coordinación de la respuesta; procedimiento operativo adaptado a una pyme.
Aplicarlo en tu empresa
Podemos revisar el entorno y acordar qué actuaciones, validaciones y mantenimiento necesitas.
Conocer el servicio relacionado →