Cómo organizar una war room para un ataque cibernético (guía práctica para empresas)

Paso a paso

1. 1

   1. Confirme y aísle — no apague

   Antes de cualquier cosa, confirme que se trata de un incidente real y no de un falso positivo. El aislamiento selectivo de la red (desconectar los segmentos afectados sin apagar las máquinas) preserva la memoria volátil y las evidencias forenses. Apagar los servidores con apuro es uno de los errores más costosos que cometen los equipos sin entrenamiento.

2. 2

   2. Active el canal de comunicación out-of-band

   Asuma de inmediato que el correo corporativo, Slack, Teams y cualquier sistema alojado en su infraestructura pueden estar comprometidos o monitoreados por el atacante. Cree un grupo en un canal externo y seguro —WhatsApp Business con un número dedicado, Signal o una plataforma de crisis externa— y mueva allí toda la comunicación del incidente.

3. 3

   3. Nombre al Comandante del Incidente

   Una sola persona tiene la autoridad de decisión final. Sin un Incident Commander, la war room se vuelve un comité: todos hablan, nadie decide. El Comandante no necesita ser el más técnico: necesita tener autoridad para movilizar recursos, aprobar comunicaciones y cerrar discusiones circulares.

4. 4

   4. Convoque a los roles obligatorios

   Active de inmediato: el equipo técnico de IR (contención y análisis), jurídico (responsabilidad, LGPD, preservación de evidencias), comunicación/PR (narrativa externa), el DPO si hay datos personales involucrados, y un ejecutivo con poder de aprobación de gastos. RH entra si hay sospecha de amenaza interna.

5. 5

   5. Abra el registro de la línea de tiempo

   Desde el primer minuto, un responsable designado documenta en tiempo real: qué se detectó, cuándo, por quién, qué acciones se tomaron y qué decisiones fueron aprobadas y por quién. Ese registro es el cimiento del informe posincidente, de la comunicación con las autoridades y de una eventual defensa legal.

6. 6

   6. Establezca la cadencia de reuniones

   En las primeras 24 horas: reuniones de estado cada 2 horas, de 20 minutos como máximo. Formato fijo: estado actual, próximas 3 acciones, bloqueos. Evite las reuniones abiertas y sin agenda: consumen el tiempo que el equipo técnico necesita para trabajar. Tras la estabilización inicial, pase a ciclos de 4 a 6 horas.

7. 7

   7. Evalúe los disparadores de notificación legal

   Si hay datos personales involucrados, el plazo legal de la ANPD comienza a contar desde el momento en que la empresa toma conocimiento del incidente. Jurídico y el DPO deben evaluar en las primeras 2 horas si existe la obligación de notificar: el plazo brasileño es de 3 días hábiles para la notificación preliminar a la ANPD y a los titulares afectados, cuando corresponda.

8. 8

   8. Decida entre aislamiento total y contención monitoreada

   En algunos escenarios (especialmente espionaje y APT), aislar de inmediato alerta al atacante y hace que borre los rastros. En otros (ransomware activo propagándose), cada segundo cuenta y el aislamiento es inmediato. Esta decisión debe tomarla el Comandante junto con el lead técnico, nunca de forma unilateral por parte de la TI operativa.

Qué es una war room cibernética y por qué existe

Una war room cibernética —también llamada sala de crisis, centro de comando de incidentes o CSIRT operativo— es la estructura temporal de toma de decisiones que se activa cuando un incidente de seguridad grave amenaza la continuidad, los datos o la reputación de una organización. El concepto proviene de la gestión militar de crisis y fue adaptado al contexto corporativo de seguridad de la información por el NIST SP 800-61 (Computer Security Incident Handling Guide) y por el framework de gestión de crisis del SANS Institute.

La lógica central es simple: los incidentes cibernéticos graves exigen decisiones rápidas, con consecuencias serias, en condiciones de información incompleta y presión extrema. Sin un proceso estructurado, lo que ocurre es la 'gestión a los gritos': el más ruidoso decide, el técnico es atropellado por el ejecutivo, jurídico llega tarde y la comunicación se improvisa. El resultado es sistemáticamente peor de lo que el incidente original exigiría.

La war room no sustituye al equipo técnico de respuesta a incidentes: lo gobierna. Mientras los analistas forenses y los ingenieros de IR trabajan en la contención y la erradicación, la war room garantiza que las decisiones de negocio, comunicación y cumplimiento se tomen con velocidad y coherencia. Es la diferencia entre reaccionar y responder.

Quién debe estar en la war room: roles y responsabilidades

El Comandante del Incidente (Incident Commander) es el rol más crítico y más descuidado. Es quien tiene la autoridad final sobre todas las decisiones del incidente, desde el aislamiento de los sistemas hasta la aprobación de la comunicación pública. No necesita ser el más técnico: necesita tener claridad, autoridad y capacidad de cerrar debates. En empresas sin un CISO estructurado, ese rol suele recaer en el CTO o en un director sénior con apoyo de consultoría especializada.

El Lead Técnico de IR es el principal enlace entre la war room y el equipo de campo. Es responsable de traducir los datos forenses en información accionable para el Comandante: '¿cuál es el alcance real?', '¿el atacante sigue activo?', '¿qué necesitamos para contener?'. En incidentes críticos, esta persona debe quedar liberada de tareas administrativas y operativas para enfocarse exclusivamente en el análisis y la dirección técnica.

Jurídico y el DPO entran desde el primer momento por razones distintas: jurídico se ocupa de la responsabilidad contractual, la preservación de evidencias bajo privilegio legal, la relación con las autoridades y un eventual litigio; el DPO (o el responsable de privacidad) evalúa de inmediato si se vieron afectados datos personales y qué obligaciones de notificación aplican: LGPD, sector regulado (BACEN, ANS, ANATEL), acuerdos contractuales.

Comunicación y PR gestionan la narrativa. Su función no es esconder el incidente: es comunicar de forma controlada, precisa y en el momento correcto. Esto incluye redactar comunicados internos para los colaboradores, respuestas para los clientes y socios afectados, y declaraciones para la prensa en caso de que el incidente se vuelva público. Una mala comunicación en crisis puede causar un daño reputacional superior al propio ataque.

RH participa cuando hay sospecha de amenaza interna, cuando los colaboradores son víctimas (por ejemplo, datos de empleados filtrados) o cuando es necesario coordinar acciones disciplinarias o despidos como parte de la respuesta. El ejecutivo con poder de aprobación —CEO, CFO o COO— debe estar disponible para decisiones de alto impacto: contratar IR externo, activar el seguro cibernético, aprobar la comunicación con clientes estratégicos o tomar la decisión de notificar a los reguladores.

Infraestructura segura y canales out-of-band: asumir el compromiso

El principio fundamental de la infraestructura de la war room es asumir un compromiso total hasta que se demuestre lo contrario. Esto significa que toda la comunicación, planificación y coordinación de la respuesta debe ocurrir fuera de los sistemas corporativos. El correo empresarial, Microsoft Teams, Slack corporativo, los sistemas de ticketing internos: todos deben considerarse potencialmente leídos por el atacante durante la respuesta.

El canal out-of-band debe establecerse antes del incidente, como parte del plan de respuesta, pero puede improvisarse rápidamente. Las opciones más usadas incluyen: Signal (cifrado de extremo a extremo, sin metadatos corporativos), WhatsApp Business con un número de SIM dedicado al IR, plataformas externas de gestión de crisis (como Everbridge, OnSolve o similares), o simplemente un grupo de correo en cuentas personales de los miembros clave.

Además del canal de comunicación, la war room necesita un entorno de trabajo seguro para la documentación: una planilla compartida en una cuenta Google o Microsoft personal, fuera del dominio corporativo, sirve para la línea de tiempo del incidente. Las herramientas forenses deben ejecutarse en estaciones de trabajo aisladas o en entornos cloud temporales aprovisionados fuera de la infraestructura comprometida.

La sala física —cuando la empresa tiene una presencia física centralizada— debe ser una sala con acceso restringido, sin cámaras corporativas (que pueden estar comprometidas), con dispositivos personales o dedicados. En empresas distribuidas, la war room es enteramente virtual, lo que refuerza aún más la necesidad del canal out-of-band establecido previamente.

Cadencia, registro y gobernanza: cómo funciona la war room en la práctica

La war room eficaz opera en ciclos cortos y previsibles. En las primeras 24 horas, reuniones de estado cada 2 horas, con una duración máxima de 20 minutos, siguiendo una agenda fija: situación actual (qué sabemos ahora), acciones en curso y responsables, próximas 3 decisiones necesarias, bloqueos. Las reuniones abiertas y sin estructura son el mayor drenaje de productividad en las crisis: cada hora que el equipo técnico pasa en reunión es una hora menos de trabajo real de contención.

El registro del incidente es el documento central de la war room. Debe contener: línea de tiempo cronológica con marcas de tiempo precisas (en UTC), todas las decisiones tomadas con el nombre de quien las aprobó, todas las hipótesis planteadas y su estado (confirmada, descartada, en investigación), sistemas afectados y estado de contención, comunicaciones enviadas y recibidas. Ese documento, mantenido en tiempo real por un responsable designado, es la base del informe final, de las comunicaciones con las autoridades y de una eventual defensa legal.

La estructura de gobernanza del NIST SP 800-61 divide la respuesta en cuatro fases: Preparación, Detección y Análisis, Contención/Erradicación/Recuperación y Actividad Posincidente. La war room gobierna principalmente las fases 2, 3 y la transición hacia la fase 4. Es fundamental que el Comandante del Incidente declare formalmente la transición entre fases: eso evita que el equipo quede atrapado en modo de 'contención' cuando ya debería estar en 'recuperación', y viceversa.

Tras la estabilización inicial (típicamente después de 24 a 48 horas), la cadencia puede reducirse a reuniones de 4 a 6 horas, y la war room comienza a planificar la recuperación. La desmovilización formal de la war room debe declararla el Comandante, con criterios claros: amenaza activa erradicada, sistemas críticos restaurados, comunicaciones obligatorias enviadas y línea de tiempo de seguimiento definida.

Comunicación en crisis: interna, clientes, ANPD y autoridades

La comunicación interna debe venir antes de cualquier comunicación externa. Los colaboradores que descubren el incidente por las noticias o las redes sociales —antes de ser informados por la empresa— pierden la confianza en el liderazgo y pueden tomar acciones perjudiciales (hablar con la prensa, compartir información incorrecta). La comunicación interna debe ser honesta sobre lo que se sabe y lo que aún se está investigando, con canales claros para las dudas.

La comunicación con los clientes y socios afectados debe basarse en hechos confirmados, no en especulaciones. El modelo recomendado: reconozca el incidente, explique lo que se conoce sobre el impacto, describa lo que se está haciendo, informe lo que el cliente debe hacer (si hay alguna acción necesaria) y establezca el próximo punto de actualización con fecha y hora. Evite las comunicaciones que minimicen el incidente: los descubrimientos posteriores que contradicen una comunicación inicial optimista causan un daño reputacional desproporcionado.

En Brasil, la LGPD (Ley 13.709/2018) y la Resolución CD/ANPD n.º 15/2024 establecen obligaciones de comunicación cuando se ven afectados datos personales. El plazo para la notificación preliminar a la ANPD es de 3 días hábiles después de que el controlador tome conocimiento de un incidente que pueda acarrear riesgo o daño relevante a los titulares. La notificación complementaria puede realizarse en hasta 20 días hábiles. El DPO o jurídico debe evaluar en las primeras 2 horas si el incidente encuadra en esos criterios, y el registro de que esa evaluación se realizó debe estar en la línea de tiempo.

Para los sectores regulados (instituciones financieras bajo BACEN, operadoras de salud bajo ANS, telecomunicaciones bajo ANATEL), hay obligaciones adicionales y plazos específicos. Las autoridades policiales —como el CGCIBER del Ejército, la Policía Federal (delitos cibernéticos) o las comisarías especializadas estatales— pueden ser contactadas cuando hay evidencia de delito, especialmente en casos de ransomware con pago de rescate, fraude financiero o espionaje industrial.

Posincidente: lecciones aprendidas y fortalecimiento estructural

La reunión de lecciones aprendidas (post-mortem o after-action review) debe realizarse entre 5 y 15 días después del cierre del incidente: tiempo suficiente para que el equipo se recupere emocionalmente, pero lo bastante cercano como para que los detalles aún estén frescos. El objetivo no es atribuir culpas, sino entender: qué falló en el proceso de detección, qué funcionó en la respuesta, qué fue más lento de lo que debería y qué necesita cambiar.

El informe posincidente —basado en la línea de tiempo mantenida durante la war room— debe documentar la causa raíz confirmada, el vector de entrada, la extensión del compromiso, las acciones de contención y erradicación, los sistemas y datos afectados, el costo total (directo e indirecto) y las recomendaciones de mejora con responsables y plazos. Ese informe es un activo de seguridad: alimenta el programa de seguridad, justifica inversiones ante la dirección y demuestra diligencia ante los reguladores.

Las empresas que atraviesan un incidente serio sin actualizar su plan de respuesta, sus controles técnicos y su programa de entrenamiento invariablemente sufren un segundo incidente dentro de los 12 meses. El posincidente es la oportunidad más valiosa de madurez en seguridad que tiene una organización, y la mayoría la desperdicia por el apuro de 'volver a la normalidad'. Decripte conduce procesos estructurados de lecciones aprendidas como parte de todos sus compromisos de respuesta a incidentes, garantizando que el aprendizaje se convierta en un cambio real.

Términos importantes

War Room Cibernética

Estructura temporal de comando y control activada durante un incidente de seguridad grave, que reúne los roles de decisión necesarios (técnico, jurídico, comunicación, ejecutivo) en un entorno seguro y fuera de la infraestructura potencialmente comprometida, con el objetivo de coordinar la respuesta, contener el daño y gobernar las comunicaciones internas y externas.

Canal Out-of-Band

Canal de comunicación alternativo, externo a la infraestructura corporativa, utilizado durante la respuesta a incidentes para garantizar que la coordinación de la war room no sea interceptada ni saboteada por el atacante. Ejemplos: Signal, WhatsApp con un número dedicado, plataformas de gestión de crisis externas. Debe definirse previamente en el plan de respuesta a incidentes.

Incident Commander (Comandante del Incidente)

Rol de autoridad única de decisión durante un incidente de seguridad, responsable de coordinar todos los workstreams de la war room, aprobar las comunicaciones y cerrar los debates. Concepto adaptado del Incident Command System (ICS) utilizado por las fuerzas de emergencia, adoptado en el NIST SP 800-61 para la respuesta a incidentes cibernéticos.

NIST SP 800-61

Publicación especial del National Institute of Standards and Technology (EE. UU.) titulada 'Computer Security Incident Handling Guide', que define el framework de referencia para la respuesta a incidentes cibernéticos en cuatro fases: Preparación; Detección y Análisis; Contención, Erradicación y Recuperación; y Actividad Posincidente. Es el estándar más ampliamente adoptado a nivel mundial y la base metodológica de los procesos de IR de Decripte.

Preguntas frecuentes