¿Cómo se manifiesta un incidente de ciberseguridad en una pequeña empresa?
Un incidente de ciberseguridad en una pequeña empresa rara vez se presenta de forma evidente; suele parecer un fallo extraño que alguien menciona de pasada. El NCSC enumera señales de alerta como equipos que funcionan lentamente, personas que no pueden acceder a sus cuentas o archivos, mensajes que exigen un rescate, correos sospechosos enviados desde el propio dominio y solicitudes de pago inesperadas.
Considere una asesoría contable ficticia de 14 personas, Halden & Rowe. A las 4.40pm de un viernes, la responsable de oficina, Priya, recibe este mensaje de un socio: 'mi Outlook ha enviado un montón de correos que yo no escribí?? 2 clientes han respondido preguntando por una cuenta bancaria nueva para las facturas. además la unidad compartida me pide iniciar sesión otra vez y mi contraseña no funciona. voy a recoger a los niños al colegio vuelvo a las 6'. Nadie se encarga de informática a tiempo completo, el proveedor de servicios informáticos cierra a las 5.30pm y se acerca el fin de semana.
¿Cuáles son los pasos de la respuesta a incidentes para un equipo pequeño?
Los pasos de respuesta a incidentes para un equipo pequeño son reconocer, contener, notificar, recuperar y aprender, y la primera hora se centra sobre todo en los tres primeros. La guía de respuesta y recuperación para pequeñas empresas del NCSC utiliza un modelo similar de cinco pasos: preparar, identificar, resolver, notificar y aprender.
1. Identifique lo ocurrido e inicie un registro
Trate el aviso como un posible incidente, no como una molestia. Abra un registro con la hora, quién lo notificó, qué observó y cada medida tomada. El NCSC recomienda anotar qué servicios dejaron de funcionar, cuándo comenzó el incidente y cuál es su alcance.
2. Contenga los daños
Frene la propagación sin destruir pruebas. Desconecte de la red el dispositivo afectado en lugar de apagarlo, porque CISA advierte de que al apagarlo pueden perderse pruebas almacenadas en la memoria. Restablezca la contraseña de la cuenta comprometida desde un dispositivo seguro y cierre todas sus sesiones.
3. Pida ayuda a tiempo
Llame a su proveedor de servicios informáticos o a quien gestione sus sistemas antes de que termine su horario de atención. En el Reino Unido, el NCSC indica que las empresas, organizaciones o entidades benéficas que estén sufriendo un incidente de ciberseguridad deben llamar a Report Fraud al 0300 123 2040 y pulsar la opción 9. En Estados Unidos, CISA y el IC3 del FBI reciben denuncias.
4. Reporte e informe
Denuncie el delito ante las fuerzas de seguridad e informe a las personas afectadas. Si puede haber datos personales expuestos en el Reino Unido, el ICO indica que debe notificarle la brecha, cuando sea posible, en un plazo de 72 horas si es probable que suponga un riesgo para las personas.
5. Recupérese y aprenda
Restaure los datos a partir de copias de seguridad limpias y verificadas, corrija la vulnerabilidad que se aprovechó y realice una breve revisión cuando la situación se haya calmado. Anote qué salió bien y qué cambiaría.
¿Cómo se comparan una gestión deficiente y una eficaz durante la primera hora?
Una mala primera hora transcurre en silencio y con improvisaciones. Priya elimina los correos enviados sospechosos, le pide al socio que cambie la contraseña el lunes y no dice nada a los clientes. Para el lunes, el atacante ha tenido acceso al buzón durante todo el fin de semana, las pruebas han desaparecido y un cliente ha pagado al estafador.
Una buena primera hora transcurre con calma y queda documentada. A las 4.45pm, Priya abre un registro y anota el mensaje del socio palabra por palabra. A las 4.50pm, llama al proveedor de servicios informáticos, que bloquea los inicios de sesión en el buzón y exige restablecer la contraseña con autenticación multifactor. A las 5.05pm, llama a los dos clientes a los números que figuran en los registros del despacho y les indica que no realicen pagos a ninguna cuenta bancaria cuyos datos hayan cambiado. A las 5.20pm, el proveedor encuentra una regla que reenvía facturas a una dirección externa y la documenta para investigarla. Antes de las 6pm, Priya notifica el incidente y programa la revisión del lunes. Nada de esto requiere conocimientos técnicos.
¿Pueden las herramientas de IA ayudar durante la respuesta a incidentes?
Las herramientas de IA pueden ayudarle a prepararse y a comunicarse, pero no deben tomar decisiones de contención ni tener acceso a pruebas sensibles. Úselas para redactar con antelación un plan de una página, convertir un registro preliminar en una cronología o preparar un aviso a clientes que revise una persona. Nunca pegue registros, contraseñas ni datos personales en una herramienta no aprobada.
¿Cómo se comprueba que su respuesta a un incidente funcionó?
Compruebe su respuesta confirmando que se ha bloqueado el acceso del atacante, que las personas en riesgo están informadas y que su registro permitiría explicar cada decisión a alguien que no estuvo presente.
Acceso bloqueado
Contraseñas restablecidas, sesiones cerradas y reglas de correo sospechosas o nuevas cuentas de administrador registradas y gestionadas por su proveedor de servicios informáticos.
Personas informadas
Se ha informado a los clientes y al personal afectados y, cuando corresponde, a los organismos reguladores o las autoridades policiales a través de canales de confianza.
Evidencia conservada
No se eliminó nada para poner orden, y el registro incluye las horas, las acciones y quién tomó cada decisión.
Lecciones registradas
La revisión señala un cambio que debe hacerse, como activar la autenticación multifactor en todos los sistemas.
¿Cuáles son los errores habituales en la respuesta a incidentes?
El error más común es esperar a tener certeza, porque para cuando se confirma un incidente el daño ya se ha extendido. Otros: borrar pruebas para poner orden, apagar los equipos en vez de desconectarlos de la red, avisar a las personas desde la cuenta de correo comprometida, no informar a los clientes y no disponer de un número de asistencia informática fuera del horario laboral.
¿Dónde se sitúa esta lección en Tosheo.ai?
Esta lección pertenece a la categoría de ciberseguridad y al curso de ciberseguridad. En Tosheo.ai, la tarea práctica le presenta un informe desorganizado como el de Priya, le pide que prepare el registro y las acciones de la primera hora y los evalúa con una guía de criterios visible. Es una formación de concienciación, no un curso profesional de respuesta a incidentes ni de análisis forense, y no sustituye a su proveedor de servicios informáticos.
Fuentes y alcance
NCSC, guía para pequeñas empresas: respuesta y recuperación (consultado el 19 October 2026) ↗
NCSC, paso 2: identifique qué está ocurriendo (consultado el 19 October 2026) ↗
CISA, he sufrido un ataque de secuestro de datos (verificado el 19 October 2026) ↗
ICO, notificar una violación de seguridad de los datos personales (consultado el 19 October 2026) ↗