Plan de respuesta a incidentes en Honduras, El Salvador, Guatemala y Costa Rica

La versión anterior de la guía de NIST dibujaba la respuesta como un ciclo de cuatro fases que empezaba en la preparación. NIST explica por qué lo cambió. Cuando se escribió, los incidentes eran raros, su alcance era estrecho y se resolvían en uno o dos días. Hoy ocurren con frecuencia, hacen más daño y la recuperación puede tardar semanas o meses.

La revisión 3 ordena la respuesta según las seis funciones del NIST Cybersecurity Framework 2.0. Gobernar, Identificar y Proteger son la preparación: no son parte de la respuesta en sí, pero la sostienen. Detectar, Responder y Recuperar son la respuesta. En medio está la mejora continua, y NIST pide compartir lecciones aprendidas en cuanto se identifican, no al final de la recuperación.

Para una institución financiera el efecto práctico es claro. El plan de respuesta ya no es un documento del área de TI. Es parte de la gestión de riesgo, con dueños en la gerencia, en legal y en el negocio. Eso coincide con lo que piden los reguladores de la región.

NIST SP 800-61r3 enumera roles que casi nunca están todos en el plan de un banco centroamericano. Este es el reparto que conviene escribir, con nombre, suplente y teléfono fuera de la red corporativa:

Las normas locales ponen nombre a la cabeza. En Guatemala, el Art. 31 de la JM-98-2025 pide un equipo de respuesta de incidentes cibernéticos multidisciplinario, dirigido por el Oficial de Seguridad de la Información, que se reúna de forma periódica. El mismo artículo permite integrar personas externas por su conocimiento técnico, con confidencialidad sobre la información a la que accedan. En Costa Rica, el Art. 37 del Acuerdo CONASSIF 5-24 pide una función de respuesta a incidentes que puede incluir personal de distintas áreas.

NIST insiste en los terceros. Si un proveedor de nube, un SOC externo o una firma forense tiene un papel, el contrato debe decir qué puede hacer por su cuenta, por ejemplo apagar un servicio, y qué información puede compartir. Si el contrato no lo dice, se discute durante el incidente.

• Liderazgo: supervisa la respuesta, asigna recursos y decide acciones de alto impacto, como apagar o reconstruir un servicio crítico.
• Equipo de respuesta: confirma el incidente, reúne y analiza evidencia, contiene el daño, busca la causa raíz y restaura. Puede ser interno, contratado o de guardia.
• Tecnología: administradores de red, sistemas, nube y desarrollo que ejecutan la contención y la recuperación.
• Legal: revisa el plan, los contratos con proveedores y las notificaciones, y orienta si el caso puede terminar en un proceso judicial.
• Comunicaciones: prepara los mensajes a clientes y a la prensa.
• Recursos Humanos: participa si se sospecha de un empleado.
• Dueños de los procesos de negocio: fijan prioridades de recuperación y reciben el estado del incidente.
• Seguridad física: da acceso a oficinas y equipos durante la respuesta.

Este es el punto donde más planes fallan. Un plan escrito con base en una plantilla internacional no trae el plazo local. Estos son los que encontramos en los textos oficiales:

Los plazos se cuentan desde que se identifica el incidente, no desde que se confirma la causa. Por eso el plan debe decir quién declara que hay un incidente, con qué criterio y en cuánto tiempo. En Honduras, si nadie puede tomar esa decisión de madrugada, el plazo de dos horas se vence antes de empezar. En El Salvador, la Ley de Protección de Datos Personales aplica a cualquier responsable de datos, no solo a bancos, y el aviso va también a los titulares afectados.

Las cuatro normas piden, de una forma u otra, saber qué pasó. El reporte final de la CNBS (Art. 21 c) debe traer causa raíz, vulnerabilidades explotadas, plan de acción, controles preventivos, impacto económico, legal y reputacional, y uso de pólizas de seguros. La NRP-23 (Art. 16 c) iv) pide preservar las evidencias digitales para que las áreas de seguridad o las autoridades investiguen. La JM-98-2025 (Art. 29 e) pide análisis forense digital con un informe técnico y un registro de las acciones realizadas durante el análisis. El CONASSIF 5-24 (Art. 36) pide controles que permitan recopilar evidencias para el análisis forense.

NIST da dos reglas simples. Registre cada acción del equipo y proteja la integridad de ese registro. Recoja los datos del incidente según su procedimiento de preservación y su política de retención, y piense desde el inicio si el caso puede terminar en un juicio. No todos los incidentes requieren cadena de custodia formal, pero todos los datos recogidos son evidencia.

El error más común es borrar la evidencia por apuro. Reinstalar un servidor antes de copiar sus bitácoras, o apagar un equipo que podía aislarse, deja el reporte final sin causa raíz. Si su institución no tiene capacidad forense propia, el contrato con la firma externa debe estar firmado antes del incidente, con la confidencialidad que pide la JM-98-2025 para los externos.

La NRP-32 de El Salvador (Art. 18) lo dice sin rodeos: los planes de respuesta "deben ser probados para comprobar la capacidad de respuesta e identificar brechas oportunamente". NIST lista los ejercicios de mesa, las simulaciones y las pruebas como fuente de mejoras para el programa.

Un ejercicio de mesa reúne a las personas del plan durante unas horas frente a un escenario escrito: un ransomware, un proveedor comprometido, una fuga de datos de clientes. Un facilitador va soltando hechos nuevos y el grupo decide. Nadie toca un sistema en producción. Lo que se mide es si saben quién decide, si los teléfonos de la lista contestan y si el aviso al supervisor sale a tiempo. Al final, NIST recomienda un informe posterior que documente lo ocurrido, las acciones y las lecciones aprendidas.

Revise su plan actual contra esta lista. Cada punto debería poder señalarse en una página concreta del documento:

• El plan está aprobado por la Junta Directiva o la gerencia general, con fecha de la última revisión.
• Define qué es un incidente y quién lo declara, con un suplente disponible fuera de horario.
• Trae los plazos de aviso de su país y de cada país donde opera, con el responsable de cada aviso.
• Tiene plantillas listas para el primer aviso al supervisor, el reporte preliminar y el comunicado a clientes.
• Dice quién puede ordenar desconectar un sistema o apagar un servicio.
• Nombra a la firma forense o de respuesta externa, con contrato y acuerdo de confidencialidad vigentes.
• Describe cómo se preserva la evidencia y quién guarda el registro de acciones.
• Incluye un canal de comunicación alterno por si el correo está comprometido.
• Existe una copia impresa y otra fuera de la red corporativa.
• Se probó con un ejercicio de mesa en los últimos 12 meses y las brechas encontradas tienen responsable y fecha.