Un incidente grave no es el momento de improvisar. Es el momento de ejecutar: contener el problema lo antes posible, entender el alcance real y restaurar el servicio con el menor impacto. Lo que pase en las primeras horas marca la diferencia entre una incidencia gestionada y un desastre que se extiende.
Me incorporo como apoyo técnico cuando ya ha pasado algo: una brecha de seguridad, una caída inesperada, un servidor comprometido, datos corruptos o una migración que ha salido mal. El objetivo inmediato es recuperar el servicio; el segundo, entender que ha ocurrido y dejar el entorno mas robusto de lo que estaba.
Trabajo con agencias que necesitan respaldo técnico de sistemas cuando un proyecto de un cliente entra en crisis, y con empresas cuyos equipos internos no tienen la capacidad de respuesta para ciertos tipos de incidencia.
Tipos de incidencias mas habituales
- Servidor comprometido. Acceso no autorizado, webshell subida, minero de criptomonedas instalado, trafico anómalo saliente. Hay que contener, aislar y limpiar sin perder evidencias si se necesitan para un informe posterior.
- Caída de servicio sin causa obvia. La web no responde, los logs no son claros, y no hay tiempo para hacer un diagnostico tranquilo. Primera prioridad: recuperar el servicio. Segunda: entender por que ha pasado.
- Perdida o corrupción de datos. Borrado accidental, tabla truncada, ficheros sobrescritos. Evaluacion de lo que se puede recuperar y desde donde, antes de que el tiempo juegue en contra.
- Ransomware o cifrado de ficheros. Contención del alcance, evaluación de lo que esta afectado y lo que no, y plan de recuperación a partir de las copias disponibles.
- Migración que ha salido mal. Cambio de servidor o de hosting que ha dejado algo roto: base de datos inconsistente, configuraciones incorrectas, servicio degradado sin saber exactamente por que.
- Pico de carga inesperado. El servidor cede bajo un pico de trafico no previsto (campana, viral, ataque DDoS) y hay que estabilizarlo mientras se trabaja en una solución mas solida.
Como abordo la respuesta
El primer paso es siempre contener: limitar el impacto mientras se entiende el alcance. Aislar si es necesario, estabilizar el servicio, y evitar que el problema crezca mientras se investiga.
El segundo paso es el diagnostico: leer los logs, entender la linea de tiempo, identificar el vector de entrada o la causa raíz. Sin esto, cualquier solución es provisional.
El tercer paso es la recuperación: restaurar el servicio de forma limpia, con verificación de que el entorno esta en buen estado antes de volver a producción.
Y el cierre es el informe: que ha pasado, como se ha resuelto, que hay que cambiar para que no vuelva a ocurrir. Documentado y entregado.