El plan de respuesta a incidentes es el documento que dice qué hacer, quién lo hace y en qué orden cuando pasa algo grave de seguridad: a quién llamar, qué desconectar, qué no tocar, cómo avisar y cómo volver a la normalidad.
Es como el plan de protección civil de la escuela: nadie quiere un incendio, pero cuando llega, todos saben por dónde salir, quién lleva la lista y dónde reunirse. En medio de la emergencia no es momento de inventar.
En términos técnicos
- Las fases clásicas (NIST SP 800-61) son:
| Fase | Qué incluye |
|---|---|
| 1. Preparación | Plan, equipo, contactos, herramientas, respaldos, capacitación |
| 2. Detección y análisis | Reconocer, confirmar y clasificar el incidente |
| 3. Contención, erradicación y recuperación | Detener la propagación, eliminar la causa, restaurar |
| 4. Actividades posteriores | Lecciones aprendidas y mejoras |
- La revisión 3 de la guía (2025) organiza estas actividades dentro de las funciones del NIST CSF 2.0: la preparación en Gobernar, Identificar y Proteger; la respuesta en Detectar, Responder y Recuperar.
- Se complementa con guías específicas (playbooks) por tipo de incidente: phishing, ransomware, cuenta comprometida, fuga de datos.
¿Dónde lo vas a encontrar?
En empresas, gobiernos y universidades; lo piden normas como ISO/IEC 27001, las aseguradoras de riesgo cibernético y muchos clientes. En una escuela puede ser un documento de pocas páginas.