Las primeras 72 horas de un incidente: guia legal de decisiones irreversibles
Que se preserva, que se notifica y en que orden. Las decisiones tomadas en las primeras horas determinan la admisibilidad de la evidencia y la posicion frente a la autoridad.
Cuando un equipo tecnico detecta un compromiso, su primer instinto es correcto desde el punto de vista operativo y frecuentemente destructivo desde el punto de vista probatorio: apagar, reinstalar, restaurar respaldo.
El conflicto entre contener y preservar
Contener el incidente y preservar la evidencia son objetivos que compiten por las mismas horas y los mismos sistemas. La direccion juridica del incidente existe precisamente para arbitrar ese conflicto con criterio.
Regla practica
Antes de apagar cualquier sistema comprometido, capturar memoria volatil. Antes de reinstalar, tomar imagen forense. Antes de comunicar externamente, definir el mensaje con quien va a defenderlo despues.
Calificacion de la vulneracion
No todo incidente de seguridad es una vulneracion de datos personales, y no toda vulneracion detona notificacion. La calificacion requiere determinar si hubo acceso, si el dato era identificable y si existe riesgo para los derechos del titular.
Notificacion
La LFPDPPP exige informar al titular de forma inmediata las vulneraciones significativas que afecten de forma material sus derechos patrimoniales o morales. El contenido minimo del aviso y su oportunidad son revisables despues, con calma, por la autoridad y por los abogados de la contraparte.
Cierre
El incidente termina cuando existe informe de exposicion, plan de remediacion documentado y evaluacion de las acciones disponibles frente a proveedores. Antes de eso, solo se detuvo la hemorragia.