Revisión del plan de respuesta a incidentes y ejercicio de mesa en Honduras, El Salvador, Guatemala y Costa Rica

Las cuatro normas piden un plan y la capacidad de ejecutarlo. Varían en cuánto lo detallan. La Circular CNBS 025/2022 de Honduras (Art. 21) pide gestionar los incidentes de forma que se identifiquen, detecten y analicen, y notificar los significativos a la Comisión en tres etapas, la primera en 2 horas.

En El Salvador, la NRP-23 (Art. 13 y 16) pide procedimientos de notificación, documentación completa 10 días calendario después del aviso y la preservación de evidencias digitales. La NRP-32 (Art. 18) pide planes de respuesta que "deben ser probados para comprobar la capacidad de respuesta e identificar brechas oportunamente". Es el texto más explícito de la región sobre probar el plan.

En Guatemala, la JM-98-2025 (Art. 29 a 31) pide procesos de respuesta con mecanismos para convocar al equipo y a terceros, evaluación de impacto, mitigación documentada y análisis forense con informe técnico. El equipo de respuesta lo dirige el Oficial de Seguridad y se reúne de forma periódica. En Costa Rica, el CONASSIF 5-24 (Art. 36 a 39) pide un plan de respuesta, controles para recopilar evidencia forense, una función de respuesta y el aviso a la Superintendencia en 8 horas naturales para incidentes de impacto moderado o alto.

El alcance se acuerda en una llamada y queda por escrito. El precio se fija después de esa llamada, porque depende del tamaño del plan, del número de países donde opera y de cuántos escenarios quiera ejercitar. Estos son los puntos que definimos:

• Documentos a revisar: plan de respuesta, procedimientos, árbol de llamadas, plantillas de aviso y contratos con proveedores que tienen un papel en la respuesta.
• Normas aplicables: la de su supervisor y, si opera en varios países, cada una.
• Escenarios: uno o dos, elegidos con usted. Por ejemplo ransomware en el core, compromiso de un proveedor de TI, fuga de datos de clientes, o fraude en canales digitales a partir de un correo de phishing.
• Participantes: gerencia, seguridad, TI, legal, comunicaciones, riesgos, cumplimiento y los dueños de los procesos afectados por el escenario.
• Formato: una sesión de 3 a 4 horas, presencial o en línea, o dos sesiones separadas para gerencia y para el equipo técnico.
• Observadores: auditoría interna puede asistir como observador si usted lo decide.

NIST SP 800-61r3 (abril de 2025) organiza la respuesta según las seis funciones del Cybersecurity Framework 2.0 y lista los elementos de una política de respuesta: compromiso de la gerencia, propósito, alcance, definiciones, roles y facultades, criterios de prioridad y severidad, y medidas de desempeño. Usamos esa lista y los roles que describe NIST para revisar su plan línea por línea.

Después cruzamos el plan con su norma local. Aquí aparecen la mayoría de las brechas. Un plan escrito desde una plantilla internacional no trae el aviso de 2 horas de la CNBS, el de 8 horas del CONASSIF, el de 72 horas de la Ley de Protección de Datos Personales de El Salvador ni el informe forense de la JM-98-2025.

También revisamos lo que NIST pide sobre terceros. Si un proveedor de nube, un SOC externo o una firma forense tiene un papel, el contrato debe decir qué puede hacer por su cuenta y qué información puede compartir. Si su contrato no lo dice, lo anotamos como brecha.

Escribimos el escenario a partir de su entorno real: sus sistemas, sus proveedores, sus horarios. El ejercicio empieza con un hecho pequeño, una alerta o una llamada de un cliente, y el facilitador va agregando información cada pocos minutos. El grupo decide qué hacer con lo que sabe en ese momento, como pasaría en un incidente real.

Durante la sesión registramos cada decisión y la hora en que se tomó. Medimos cuánto tarda el grupo en declarar el incidente, quién lo declara, si el primer aviso al supervisor sale dentro del plazo, si alguien piensa en la evidencia antes de restaurar y qué canal usan cuando el correo se da por comprometido.

Al final hacemos una revisión en caliente de 30 minutos con los participantes. NIST recomienda cerrar cada incidente con un informe posterior que documente lo ocurrido, las acciones y las lecciones aprendidas. El ejercicio produce ese mismo documento, sin el costo de un incidente.

Lo que recibe está pensado para que la institución lo presente como evidencia de que el plan se probó. Toukan documenta lo que se revisó y lo que se observó. El supervisor decide si lo acepta.

• Matriz de revisión del plan contra NIST SP 800-61r3 y contra la norma de cada país donde opera.
• Guion del escenario con los hechos inyectados y la cronología.
• Informe posterior al ejercicio, con las decisiones, los tiempos medidos y las brechas encontradas.
• Lista de brechas priorizada, con responsable propuesto y fecha sugerida.
• Plantillas de primer aviso al supervisor y de comunicado a clientes, ajustadas a su norma.
• Resumen ejecutivo de una página para la Junta Directiva o el comité de riesgos.

Una revisión del plan con un escenario y una sesión toma unas 2 semanas desde la firma. Si opera en varios países, si quiere dos escenarios o sesiones separadas para gerencia y para el equipo técnico, el servicio puede llegar a 6 semanas. Lo que más mueve el calendario es encontrar una fecha en que todos los participantes puedan estar.

Si el ejercicio deja dudas sobre la restauración de los respaldos, una prueba de restauración con evidencia es el siguiente paso. Un ejercicio de mesa dice si el equipo sabe qué hacer. La prueba técnica dice si los sistemas vuelven en el tiempo aprobado.

Prepare esto antes de la llamada de alcance. Acorta el trabajo y mejora el ejercicio:

• La versión vigente del plan de respuesta, con fecha de aprobación.
• El árbol de llamadas y la lista de contactos externos: supervisor, firma forense, aseguradora, proveedores críticos.
• Las plantillas de aviso al supervisor, si existen.
• Los contratos con proveedores que tienen un papel en la respuesta.
• El informe del último incidente real o del último ejercicio, si hubo.
• La lista de sistemas críticos y su orden de recuperación.
• Los nombres de quienes deben participar y sus suplentes.
• Una fecha tentativa de 3 a 4 horas en que la gerencia pueda estar presente.
• Quién de auditoría interna o de cumplimiento recibirá el informe.