33.Incidente de seguridad

Un incidente de seguridad es algo que ya pasó o está pasando y que daña o pone en riesgo real la información o los sistemas: una cuenta robada, un equipo con ransomware, datos enviados a quien no debía, el sistema escolar fuera de servicio por un ataque.

No todo lo raro es un incidente. Un correo de phishing que llegó y nadie abrió es un evento; si alguien entregó su contraseña en ese correo, ya es un incidente.

En términos técnicos

• Se clasifica por tipo (malware, acceso no autorizado, fuga de datos, denegación de servicio, uso indebido) y por gravedad.
• Se gestiona con un plan de respuesta a incidentes.

¿Dónde lo vas a encontrar?

En cualquier organización, tarde o temprano. Los más comunes: robo de cuentas por phishing, malware en un equipo, envío de información a la persona equivocada, pérdida o robo de un equipo y ransomware.

Un caso verosímil

Un docente nota que su correo envió mensajes que él no escribió. Piensa que «seguro es un error del sistema», cambia su contraseña dos días después y no avisa a nadie. Mientras tanto, desde su cuenta se enviaron enlaces falsos a todo el personal y otras tres cuentas cayeron.

Qué se perdió

• Cuatro cuentas comprometidas en lugar de una, y días de trabajo para limpiar.

Qué lo habría evitado

Reconocer la señal como un posible incidente y reportarlo en el momento. Con un aviso inmediato, TI habría bloqueado la cuenta y avisado al personal antes de que el engaño se extendiera.

Niveles de gravedad (ejemplo)

Primeros pasos para cualquier persona

1. No entres en pánico y no borres nada.
2. Desconecta de la red el equipo afectado (cable o Wi-Fi), sin apagarlo, si es un equipo de la organización.
3. Anota qué viste, a qué hora y qué hiciste.
4. Reporta de inmediato por el canal establecido (soporte, responsable de seguridad).
5. Cambia tus contraseñas desde otro equipo si sospechas de tu cuenta.

Por nivel

La guía NIST SP 800-61 Rev. 3 (2025) organiza la respuesta a incidentes de acuerdo con las funciones del CSF 2.0.

• Reportar no es acusarse: la mayoría de los incidentes empiezan con un error humano normal.
• Los incidentes no solo son ataques: enviar una lista con datos personales a la persona equivocada también lo es.
• El tiempo importa: cada hora sin reportar da ventaja al atacante.
• No investigues por tu cuenta en equipos de la organización: puedes borrar evidencias.
• Algunos incidentes tienen obligaciones legales (por ejemplo, avisar a las personas afectadas si se vulneraron sus datos personales).

• NIST. SP 800-61 Rev. 3 — Incident Response Recommendations and Considerations for Cybersecurity Risk Management (2025). https://csrc.nist.gov/pubs/sp/800/61/r3/final
• ISO/IEC. ISO/IEC 27035 — Information security incident management.
• CISA. Incident Response Plan Basics. https://www.cisa.gov/resources-tools/resources/incident-response-plan-irp-basics
• FIRST. Computer Security Incident Response Team (CSIRT) Services Framework. https://www.first.org/standards/frameworks/csirts/