Plan de respuesta a incidentes para quien emprende en solitario

Un plan de respuesta a incidentes para quien emprende en solitario debe indicar qué hacer cuando llega un informe de seguridad: registrar los hechos, decidir quién puede ayudar, elegir el siguiente paso y fijar cuándo volver a evaluar la situación. Guarda esa primera página sin conexión, con enlaces a los procedimientos detallados que necesitarás. Después, ensáyala con un informe ficticio.

El 2 de noviembre de 2026, NIST publicó Small Business Cybersecurity: Non-Employer Firms, una guía para empresas cuyos propietarios son sus únicos trabajadores remunerados. Su aparición en Hacker News invita a plantearse una pregunta práctica: si alguien comunica un problema esta noche, ¿puedes empezar a responder sin improvisar el proceso?

No necesitas un gran equipo de seguridad para dejar la respuesta por escrito. Sí necesitas saber hasta dónde llegan tus capacidades y a quién puedes recurrir de verdad.

Empieza por un plan que puedas usar sin tus herramientas habituales

La primera página sirve para tomar decisiones; no es un manual completo de seguridad. Debe permitirte encontrar contactos y procedimientos aunque no puedas acceder al correo de la empresa o a tu cuenta habitual de documentos.

La nueva guía de NIST presenta la ciberseguridad con un lenguaje claro y acompaña cada acción de formas de empezar y ampliarla a medida que crece la empresa. El formato de una página que proponemos es una adaptación editorial para quien dirige un pequeño negocio de software. NIST no exige este formato, un plazo de respuesta concreto ni una plataforma de divulgación de vulnerabilidades.

Complétalo primero para un solo servicio. Elige el producto del que dependen tus clientes, en vez de intentar documentar todos tus dispositivos. Guarda una copia sin conexión en un lugar seguro; incluye instrucciones de acceso, no contraseñas ni códigos de recuperación.

Un nombre no basta. Si tu contacto técnico trabaja por cuenta propia, confirma que ha aceptado ayudarte, cuándo está disponible y qué accesos necesitaría. No esperes a que ocurra un incidente para descubrir que «llamar a alguien técnico» significa buscar a un desconocido.

Distingue el informe recibido de la decisión de declarar un incidente

Un informe de seguridad contiene información que hay que evaluar. Puede describir una vulnerabilidad real, un malentendido o indicios de una intrusión en curso. La primera respuesta debe confirmar la recepción sin dar por establecido cuál de esas situaciones se ha producido.

Usa esta tabla como punto de partida para tus procedimientos. Es un ejemplo operativo nuestro, no una escala de severidad de NIST.

No pidas al investigador que recopile más registros de clientes para demostrar el problema. Usa cuentas de prueba propias y autorizadas, y recurre a un especialista cualificado si la investigación puede exponer más datos o interrumpir el servicio.

La primera respuesta puede ser breve: «Hemos recibido tu informe y estamos revisando la función afectada. Evita acceder a más datos de clientes o enviarlos. Te informaremos de los avances antes de [hora y zona horaria]». Elige una hora que puedas cumplir, aunque la actualización sea que la investigación sigue abierta.

Para definir el canal público de comunicación y su alcance, consulta nuestra guía del programa de divulgación de vulnerabilidades. El plan de respuesta indica qué haces cuando recibes un informe por ese canal.

Ensaya un informe ficticio antes de recibir uno real

Un ensayo debe revelar los contactos y las decisiones que faltan sin modificar los sistemas de producción. Recorre un escenario ficticio, anota dónde te atascas y corrige el plan.

Las orientaciones para pequeñas empresas de la Australian Signals Directorate recomiendan ejercicios sencillos, comprobar los tiempos de respuesta y la toma de decisiones, y perfeccionar los planes con los resultados. El siguiente ejercicio para un servicio SaaS es nuestra propuesta para aplicar ese principio.

Imagina que un investigador escribe: «Puedo acceder al archivo exportado de otro cliente desde esta URL». No hacen falta archivos reales ni datos de clientes. Identifica claramente el ejercicio y mantenlo fuera de los canales públicos de informes.

1. Encuentra la página. Supón que no tienes acceso al correo del trabajo. ¿Puedes localizar el plan sin conexión e identificar los contactos de soporte?
2. Abre un registro del ejercicio. Anota cuándo llegó el mensaje ficticio, qué afirma, qué se desconoce y quién debe tomar la siguiente decisión.
3. Redacta el acuse de recibo. Indica al investigador cuándo recibirá noticias sin afirmar que has confirmado una brecha o aplicado una corrección.
4. Decide a quién recurrir. Identifica quién puede consultar los registros de acceso pertinentes y quién podría restringir la función de exportación afectada. Describe la acción; no la ejecutes en producción.
5. Localiza el procedimiento de recuperación. Identifica los accesos necesarios y las comprobaciones que permitirían confirmar que se puede reanudar el servicio de forma segura.
6. Anota las carencias. Sustituye «revisar registros» por su ubicación real y la forma de acceder. Sustituye «contactar con el proveedor» por la vía de soporte que has verificado.

Reserva un tiempo que encaje en tu jornada. El objetivo es mejorar el plan; terminar deprisa no demuestra que estés preparado. Si no puedes identificar a quien evaluaría la exposición descrita, ya has obtenido un resultado útil: acuerda esa ayuda antes de depender del plan.

Conserva un registro factual durante la respuesta y la recuperación

Registra por separado lo que sabes y lo que sospechas. Cada acción con consecuencias debe tener una hora, un responsable y un motivo, para poder explicar cómo cambió tu comprensión del problema.

Las orientaciones de respuesta de CSWP 50 de NIST piden documentar la hora de detección, los registros y capturas pertinentes, y las acciones realizadas. También abordan los ensayos, la conservación de contactos importantes sin conexión y la verificación de la integridad de las copias de seguridad antes de recuperar el servicio. Son recomendaciones útiles para comprobar tu primera página y los procedimientos a los que remite.

Para el informe ficticio de exportación, una entrada podría decir: «14:10 UTC: informe recibido. El investigador afirma que puede acceder al archivo de otro cliente. Aún no se ha reproducido. Responsable: fundador. Siguiente paso: el especialista técnico revisará la autorización de las exportaciones y los registros de acceso disponibles». Una entrada posterior puede corregir la hipótesis de trabajo sin reescribir el registro anterior.

Una corrección desplegada, un servicio restablecido y una resolución verificada responden a preguntas distintas. Decide qué comprobaciones necesita tu servicio y quién puede realizarlas. Si usas una copia de seguridad, sigue el procedimiento de recuperación y valida el servicio restaurado antes de darla por terminada.

Localiza también de antemano las obligaciones de notificación que te correspondan. La guía no establece un plazo legal universal, y un informe de vulnerabilidad no demuestra por sí solo que debas notificar a los clientes. Anota dónde están documentados los requisitos contractuales y de tu jurisdicción, y a quién consultarías.

Coordina los informes en Kit junto con tu plan de respuesta

Un proceso de gestión de informes permite reunir responsables, correspondencia y avances. El plan sin conexión debe seguir cubriendo los contactos de soporte, la recuperación de sistemas y las decisiones que quedan fuera de ese proceso.

El proceso de Seguridad de Kit permite asignar informes y reúne la correspondencia con investigadores, las notas internas y la cronología del informe. Su ciclo distingue la investigación y la resolución de la verificación de la corrección. Estas funciones ayudan a que un informe de vulnerabilidad avance mientras lo investigas; no determinan si se ha producido un incidente ni recuperan tu infraestructura.

Si ya usas Kit, ensaya con un registro claramente identificado como ejercicio y comprueba que puedes encontrar al responsable, la correspondencia y la siguiente acción. Restringe el acceso a la documentación sensible a quienes la necesitan. Consulta el proceso de Seguridad para valorar si encaja con tu gestión de informes.

Empieza por la página que puedas usar esta noche: un contacto localizable, un lugar para las pruebas, un responsable de las decisiones y una hora para la siguiente actualización. Recorre el informe ficticio, corrige un paso que falte y guarda la copia sin conexión revisada.