Incidente de seguridad de la información

Qué es un incidente de seguridad de la información

Un incidente de seguridad de la información (SI) es cualquier evento no deseado o imprevisto (o una serie de ellos) que vulnera o crea una amenaza de vulneración de la confidencialidad, integridad o disponibilidad de la información y de los sistemas informáticos. En términos simples, es la situación en la que sus datos llegan a las manos equivocadas, se pierden sin remedio o el sistema deja de funcionar.

Es importante distinguir incidente de evento. Un evento es cualquier cambio en el sistema, que puede ser normal o sospechoso (por ejemplo, un usuario introdujo una contraseña incorrecta). Un incidente es un evento que provocó o podría provocar un daño real (por ejemplo, un intruso descifró la contraseña, entró en el sistema, robó los datos o cifró archivos).

Según las estadísticas, más del 80 % de las empresas se enfrenta cada año al menos a un incidente grave de SI. El coste de eliminar las consecuencias de un solo incidente asciende de media a millones de rublos, y la recuperación de la reputación puede llevar años. Según Kaspersky Lab, en 2025 el costo medio de un incidente para el negocio ruso ascendió a 12,4 millones de rublos y la restauración llevó de varios días a varias semanas. Lea sobre la prevención de tales situaciones en el artículo Seguridad de la información.

Tipos principales de incidentes

Los incidentes de seguridad de la información se clasifican según el tipo de amenaza y el carácter del impacto. Los tipos más habituales:

• Software malicioso: infección por virus, ransomware (cifradores), programas espía, troyanos, gusanos y rootkits. El malware puede robar datos, cifrar archivos, convertir el sistema en parte de una botnet o dejarlo totalmente fuera de servicio.
• Acceso no autorizado: ataques de pirateo, descifrado de contraseñas, escalada de privilegios ilícita, robo de cuentas y aprovechamiento de vulnerabilidades para acceder a los sistemas. Es una de las causas habituales de las filtraciones de datos.
• Filtraciones y compromiso de datos: copia ilegal, borrado o publicación de documentos confidenciales, bases de clientes, datos personales, secretos comerciales o de Estado. La fuga puede ser externa (hackers) e interna (insiders).
• Vulneración de la disponibilidad: ataques DDoS (denegación de servicio distribuida), bloqueos de sistemas, daños en los equipos, por los que los empleados y clientes no pueden acceder a los servicios.
• Ingeniería social: ataques de phishing exitosos por los que los empleados siguen enlaces maliciosos, abren archivos infectados o entregan a los intrusos las credenciales y los documentos confidenciales bajo el pretexto de una «comprobación» o «solicitud oficial».
• Violaciones internas (amenazas internas): divulgación deliberada o accidental de datos por los empleados, envío de la información confidencial al destinatario erróneo, traspaso de datos a soportes personales o al almacenamiento en la nube.

Lea más sobre los tipos de ciberataques en el artículo Ciberfraude.

Ciclo de vida del incidente

De acuerdo con los estándares (por ejemplo, NIST SP 800-61 y con las recomendaciones metodológicas nacionales), el proceso clásico de manejo de incidentes incluye las siguientes etapas:

• Detección y registro: descubrimiento de una actividad extraña en el sistema: la activación de un sistema SIEM, de un EDR, de un antivirus, una queja del usuario o la detección de anomalías en los registros.
• Análisis: evaluación del alcance de la amenaza, identificación de los sistemas afectados, determinación del tipo de ataque y búsqueda del origen. Los analistas del SOC investigan con los registros, el tráfico de red y los datos de la prueba forense.
• Contención y respuesta: bloquear el ataque e impedir su propagación: aislar los sistemas dañados de la red, bloquear las direcciones IP de los atacantes, desactivar las cuentas comprometidas.
• Remediación y recuperación: eliminación del malware, recuperación de los datos a partir de las copias de seguridad (sistema de respaldo), restauración del funcionamiento de los sistemas y cierre de las vulnerabilidades por las que penetró el intruso.
• Análisis del incidente (post-mortem): identificación de vulnerabilidades, elaboración de medidas para evitar la repetición, actualización de las políticas de seguridad, formación de los empleados y preparación del informe para la dirección y los reguladores (si hace falta).

Lea sobre los métodos de recuperación de datos en el artículo Copia de seguridad.

Cómo responder ante el incidente

La respuesta correcta es crítica para minimizar el daño. Orden de acciones recomendado:

• Aislar de inmediato los sistemas infectados de la red (desconectar de la red local e internet) para impedir la propagación del ataque a otros dispositivos.
• Guardar todos los registros y las pruebas para el examen: registros del sistema, archivos de eventos, volcados de memoria, copias de archivos infectados. No borre ni modifique los datos hasta el fin de la investigación.
• Notificar a la dirección y al servicio de seguridad conforme al procedimiento interno de respuesta a incidentes.
• Involucrar a especialistas en la investigación (forenses) para un análisis profesional y la recolección de pruebas.
• Notificar a los reguladores (Roskomnadzor, FSTEC, Banco de Rusia) en los casos previstos por la ley (por ejemplo, con la fuga de datos personales según 152-FZ o en los incidentes en las instalaciones de la infraestructura crítica de la información). El plazo de notificación suele ser de 24 horas desde el descubrimiento.

Lea sobre los aspectos jurídicos en el artículo Ley Federal 152-FZ.