En regulación bancaria y gubernamental, muchas jurisdicciones exigen notificación de brechas en 72h (GDPR) o incluso 24h (algunos reguladores locales). Ese timer no perdona improvisación.
Los primeros 60 minutos
- Confirmar y clasificar: ¿es incidente o falsa alarma? Un solo comando estandarizado.
- Contener: aislar el segmento afectado, no apagar sistemas críticos por instinto.
- Cadena de custodia: snapshot forense inmutable antes de cualquier remediación.
- Comunicar interno: canal dedicado, sin filtrar detalles sensibles a canales corporativos.
Las siguientes 23 horas
Análisis root-cause en paralelo con contención. Redacción del reporte regulatorio con lenguaje pre-aprobado por legal (no se improvisa a las 3am). Notificación a clientes solo tras validación legal + comunicaciones — nunca antes.
“El runbook no es un documento — es un músculo. Se practica trimestralmente con simulacros de tabletop, o no sirve.”
