Preparación ante incidentes: qué hacer cuando el ataque ya ocurrió

El 73% de las empresas admite que no estaría lista para operar si el ciberataque llegara mañana. Esto es lo que hay que tener resuelto antes de que pase, y lo que hay que hacer si ya pasó.

Un ciberataque no avisa. La diferencia entre una interrupción de horas y una crisis de semanas no la marca el firewall, la marca la decisión que se toma, o no se toma, en los primeros minutos. Para una constructora con obras en varios países o una empresa de alquiler de maquinaria con flotas conectadas y clientes esperando entregas, un plan de respuesta a incidentes que existe solo en un documento no sirve de nada si nadie sabe ejecutarlo cuando corresponde. El 76% de las organizaciones sufrió al menos un ciberataque en los últimos doce meses (Sygnia CISO Survey, 2026). La pregunta ya no es si va a pasar. Es qué se hace cuando pase.

Tiempo de lectura: 9 minutos | Palabras clave: plan de respuesta a incidentes, preparación ante ciberataques

Los incidentes cibernéticos: una realidad costosa para las organizaciones

El coste promedio global de una filtración de datos alcanzó los 4,99 millones de dólares en 2026, un 12% más que el año anterior y el nivel más alto registrado (IBM, Cost of a Data Breach Report, 2026). Esa cifra no distingue sector. Una constructora que pierde acceso a sus sistemas de planificación de obra, o una empresa de alquiler de maquinaria que no puede facturar ni rastrear su flota, paga un precio comparable al de cualquier otra industria, con el agravante de que sus contratos suelen tener penalizaciones por retraso.

El problema no es solo el momento del ataque. Entre las organizaciones que sufrieron un incidente en el último año, el 47% enfrentó paradas operativas, el 41% perdió datos, el 41% sufrió daño reputacional y el 40% registró pérdida de ingresos (Sygnia CISO Survey, 2026). Y no es un evento aislado: el 76% de las organizaciones fue atacada al menos una vez en los últimos doce meses, y el 32% más de una vez (Sygnia CISO Survey, 2026).

"Un ciberataque no pregunta si la constructora tiene la maquinaria en obra o el sistema de facturación al día. Solo busca la puerta abierta."

Tratar esto como un problema exclusivo de IT es el primer error. La decisión de invertir en preparación, de definir quién autoriza qué en medio de una crisis, de asignar presupuesto a algo que no genera ingresos visibles, es una decisión de liderazgo. Cuando esa decisión no se toma antes, se toma de forma improvisada durante el ataque, y ahí es donde el coste se dispara.

Brechas visibles para un ciberataque

El 99% de las organizaciones tiene un plan de respuesta a incidentes formal por escrito. El 73% de los responsables de ciberseguridad admite que, aun así, su organización no estaría lista para operar si el ataque llegara mañana (Sygnia CISO Survey, 2026). La brecha entre tener el documento y estar preparado es donde se pierde la mayoría de las batallas.

Tres áreas concentran el riesgo. La visibilidad: el 78% de los responsables de seguridad identifica puntos ciegos en la nube, el software como servicio y los dispositivos conectados que retrasan la detección de una amenaza (Sygnia CISO Survey, 2026). La coordinación: el 90% anticipa fallas al coordinar áreas durante un incidente real, y el 75% señala a los equipos legales y de comunicación como un freno para decidir rápido (Sygnia CISO Survey, 2026). Y el liderazgo: el 89% reporta poca participación ejecutiva o de junta directiva en la preparación ante incidentes (Sygnia CISO Survey, 2026).

Qué queda fuera del radar

• Sistemas operativos y de control: el 84% de los responsables de seguridad señala la conexión entre TI y los sistemas operativos o industriales, como maquinaria conectada y sensores de flota, como un puente vulnerable para un atacante (Sygnia CISO Survey, 2026).
• Terceros y subcontratistas: cada proveedor, subcontratista o partner con acceso a sistemas compartidos amplía la superficie de ataque sin que la organización lo controle directamente.
• Amenazas emergentes con IA: Gartner identifica los deepfakes, el compromiso de aplicaciones con IA, la inyección de prompts y los ataques a la cadena de suministro de software como las cuatro amenazas que exigen mejoras urgentes en 2026 (Gartner, 2026).

Preparación ante una crisis de ciberseguridad

Tener un plan escrito no es lo mismo que estar preparado. Entre los componentes de un plan de respuesta a incidentes, las pruebas mediante simulacros con ejecutivos son el elemento peor evaluado: solo el 32% de las organizaciones las considera realmente efectivas (Sygnia, Incident Response Readiness, 2026). Un plan que nunca se puso a prueba bajo presión es, en la práctica, una hipótesis.

Las organizaciones con mayor resiliencia lo hacen distinto. El 37% de las organizaciones con baja resiliencia reporta una planificación de respuesta a incidentes insuficiente, frente al 15% de las que tienen alta resiliencia (WEF Global Cybersecurity Outlook, 2026). La diferencia no está en la tecnología que tienen, está en cuánto practican la respuesta antes de necesitarla.

Qué exige un plan de respuesta a incidentes real

Un plan que funciona cuando el ataque ya ocurrió comparte algunas condiciones básicas.

• Gobernanza definida: autoridad clara sobre quién decide qué durante una crisis, sin depender de que el CEO esté disponible para autorizar cada paso.
• Participación ejecutiva desde el diseño: el liderazgo no se suma cuando el incidente ya está en curso, participa en la planificación y en los simulacros.
• Visibilidad validada: revisiones periódicas de los puntos ciegos en nube, dispositivos conectados y sistemas operativos, no una auditoría única al implementar el plan.
• Roles legales y de comunicación definidos con antelación: quién habla con clientes, reguladores y prensa se decide antes del ataque, no durante.

Ninguno de estos puntos depende de un presupuesto grande. Depende de que alguien con autoridad decida que vale la pena resolverlos antes de que un ataque obligue a resolverlos de emergencia.

Medidas inmediatas ante un ataque

Cuando el ataque ya ocurrió, la prioridad cambia. Ya no se trata de aislar equipos, sino de contener identidades: identificar qué cuentas, credenciales y sesiones activas usó el atacante y revocarlas en un orden definido (Sygnia, Ransomware Incident Response, 2026). Invalidar tokens y cookies de sesión, evaluar qué datos salieron de la organización y entender el alcance antes de cualquier contacto con el atacante son los primeros pasos, no los últimos.

Activar el plan de respuesta a incidentes: las primeras horas

• Contener el acceso: revocar credenciales y sesiones comprometidas antes de investigar el resto.
• Evaluar el alcance: determinar qué datos o sistemas quedaron expuestos, sin asumir que el ataque se limitó a lo visible.
• Reforzar la autenticación: activar doble factor y aumentar la frecuencia de reautenticación en los accesos críticos.
• Comunicar hacia dentro y hacia fuera: informar a empleados, clientes y partners para que no caigan en un segundo ataque derivado del primero.

En Strolling Digital tuvimos un caso cercano. Uno de nuestros partners sufrió un ataque que expuso públicamente las direcciones de correo de la empresa, y empezaron a llegar mensajes de phishing pidiendo información a esas mismas cuentas. El partner activó doble autenticación con Microsoft Authenticator y aumentó la frecuencia de reautenticación en los inicios de sesión. Lanzó una campaña de concienciación sobre phishing para todo el equipo, siendo transparente sobre lo ocurrido, y avisó a sus propios partners y clientes para que no cayeran en los mismos correos. El ataque no escaló más porque ya tenían medidas de seguridad implementadas, y lo que hicieron fue reforzarlas a tiempo (fuente primaria interna de Strolling Digital, 2026).

"Reforzar las medidas que ya existían fue lo que evitó que un correo filtrado se convirtiera en una crisis mayor."

Preguntas Frecuentes

¿Qué hacer inmediatamente después de un ciberataque?

Lo primero es contener identidades, no aislar equipos: identificar qué cuentas, credenciales y sesiones usó el atacante y revocarlas de inmediato. Después se evalúa qué datos o sistemas quedaron expuestos, se refuerza la autenticación en los accesos críticos y se comunica a empleados, clientes y partners para evitar un segundo ataque derivado del primero (Sygnia, Ransomware Incident Response, 2026).

¿Por qué tener un plan de respuesta a incidentes por escrito no garantiza estar preparado?

Porque el 99% de las organizaciones tiene un plan formal, pero el 73% de los responsables de ciberseguridad admite que no estaría lista para operar si el ataque llegara mañana (Sygnia CISO Survey, 2026). Un plan que nunca se probó con simulacros reales, con la participación de quienes deciden, es un documento, no una capacidad.

¿Cuánto cuesta en promedio un ciberataque a una empresa?

El coste promedio global de una filtración de datos llegó a 4,99 millones de dólares en 2026, el nivel más alto registrado hasta ahora (IBM, Cost of a Data Breach Report, 2026). A eso se suman paradas operativas, pérdida de datos y daño reputacional, que juntos afectan a más del 40% de las organizaciones atacadas (Sygnia CISO Survey, 2026).

¿Qué papel debe tener el liderazgo ejecutivo en la respuesta a un incidente de ciberseguridad?

Un papel activo desde la planificación, no solo durante la crisis. El 89% de las organizaciones reporta poca participación ejecutiva o de junta directiva en la preparación ante incidentes (Sygnia CISO Survey, 2026), y esa ausencia es una de las razones por las que las decisiones se improvisan cuando el ataque ya está en curso.

¿Cómo se comprueba si un plan de respuesta a incidentes funciona de verdad?

Con simulacros periódicos que incluyan a los ejecutivos que tendrán que decidir en una crisis real, no solo al equipo técnico. Hoy, solo el 32% de las organizaciones considera que sus pruebas mediante simulacros son realmente efectivas (Sygnia, Incident Response Readiness, 2026), lo que deja a la mayoría con un plan sin validar.