Respuesta a incidentes en remoto durante 2020: lo que cambió y lo que no
Lecciones aprendidas gestionando incidentes de seguridad con equipos 100% distribuidos: cadena de custodia digital, comunicación segura fuera de banda y reconstrucción de timeline.
El war-room ya no es físico
Durante años, la respuesta a incidentes asumía una sala con personas frente a pantallas. En 2020 eso desapareció en una semana. Lo que sustituyó al war-room funcionó si y sólo si tres cosas estaban previamente preparadas: un canal de comunicación fuera de banda (porque el corporativo puede estar comprometido), un repositorio central de evidencias con control de acceso y un runbook que asume que la persona que toma una decisión no está en la misma zona horaria que quien la ejecuta.
Cadena de custodia digital sin acceso físico
Imágenes forenses tomadas en remoto sobre EDR o agentes de IR, hashes SHA-256 firmados y registrados con timestamp confiable, transferencia por canal cifrado con doble custodia. Cada acción ejecutada en la máquina comprometida queda registrada en un live response document que es la fuente única de verdad si el incidente acaba en un juzgado.
Lo que no cambia
El método sigue siendo el mismo: contener, erradicar, recuperar, lecciones aprendidas. Lo único que cambia es la latencia de cada paso y la presión sobre la documentación. Un equipo distribuido que documenta bien responde mejor que un equipo presencial que improvisa.