Cuando una empresa detecta que algo salió mal (un acceso no autorizado, una fuga de información, un correo comprometido, un proveedor que reporta una brecha) la reacción natural es intentar resolverlo lo más rápido posible: cerrar el acceso, reiniciar el sistema, borrar lo que parece sospechoso. Esa reacción, aunque comprensible, es exactamente lo que puede destruir la evidencia necesaria para entender qué pasó y para responder legalmente ante PRODHAB, ante los afectados o ante una aseguradora.
En INTELLILEX solemos ver el mismo problema: la parte técnica del incidente se resuelve razonablemente bien, pero la evidencia que hubiera permitido reconstruir los hechos con precisión ya no existe cuando se necesita.
Por qué la evidencia digital es tan frágil
La evidencia digital tiene una característica que la vuelve delicada: puede alterarse o destruirse sin intención, con una sola acción aparentemente inocua. Reiniciar un servidor puede borrar registros temporales (logs) que muestran cómo entró un atacante. Restaurar un respaldo puede sobrescribir el estado exacto del sistema en el momento del incidente. Cambiar contraseñas sin documentar el proceso puede dificultar reconstruir la línea de tiempo. Ninguna de estas acciones es incorrecta en sí misma; el problema es hacerlas antes de preservar evidencia.
Qué hacer en las primeras 24 horas
1. Documente el momento del descubrimiento. Anote quién detectó el incidente, cómo, y a qué hora exacta. Este dato, que parece trivial, suele ser el primer punto de referencia en cualquier análisis posterior y en cualquier plazo legal que empiece a correr (por ejemplo, para notificaciones a PRODHAB o a las personas afectadas).
2. Aísle sin apagar. Siempre que sea técnicamente posible, desconecte el sistema comprometido de la red en lugar de apagarlo. Apagar un equipo puede borrar información valiosa que solo existe en memoria mientras el sistema está encendido.
3. Haga copias antes de actuar sobre el sistema original. Si va a investigar, hágalo sobre una copia forense o, como mínimo, sobre una copia completa del sistema, nunca directamente sobre el original. Esto preserva la posibilidad de un análisis posterior más riguroso si resulta necesario.
4. Registre cada acción que se tome, con fecha y responsable. Quién accedió a qué, qué se cambió, qué se restauró. Un registro simple en una hoja de cálculo, hecho en tiempo real, vale más que una reconstrucción posterior basada en memoria.
5. Identifique qué datos personales pudieron verse afectados. Bajo la Ley N.° 8968, esto es clave para evaluar si existe obligación de notificar a PRODHAB o a las personas cuyos datos pudieron comprometerse, y en qué plazo.
6. Contacte asesoría legal antes de comunicar el incidente externamente. Lo que la empresa comunique (a clientes, a la prensa, a las autoridades) tiene efectos legales. Una comunicación prematura o imprecisa puede generar más exposición que el incidente mismo.
Qué evitar
- No reinicie ni reinstale sistemas antes de preservar evidencia, salvo que exista un riesgo activo que lo justifique.
- No asuma que "no fue nada grave" sin haber evaluado qué datos estaban en el sistema afectado.
- No comunique el incidente a terceros sin haber definido, con asesoría, qué se dirá y a quién corresponde decirlo.
¿Qué significa para su empresa?
Un protocolo simple de primeras 24 horas, conocido de antemano por el equipo técnico, reduce significativamente el riesgo de perder evidencia útil y de tomar decisiones apresuradas que compliquen una eventual respuesta ante PRODHAB. No hace falta un plan extenso: basta con una lista corta de pasos y un número de contacto legal que se active desde el primer momento en que se detecta algo fuera de lo normal.
La diferencia entre un incidente bien gestionado y uno que se convierte en un problema legal mayor casi nunca está en la gravedad técnica del hecho. Está en lo que la empresa hizo, o no hizo, en las primeras horas.