Marco NIST/SANS de Respuesta a Incidentes

Los marcos de NIST y SANS son las referencias más adoptadas para estructurar un proceso de respuesta a incidentes, y aunque difieren ligeramente en cómo agrupan las fases, ambos cubren preparación, detección y análisis, contención, erradicación, recuperación, y lecciones aprendidas. En la práctica, adoptar uno de estos marcos no significa copiar un documento genérico, sino adaptarlo a la realidad de la organización, definiendo con precisión quién ejecuta cada fase, con qué herramientas y bajo qué criterios de decisión, porque un marco sin esa adaptación queda como teoría que nadie sigue en una crisis real. La fase de preparación suele ser la más subestimada, aunque es la que determina si las demás fases se ejecutan con rapidez o con improvisación, ya que incluye tener runbooks listos, accesos de emergencia configurados y un equipo entrenado antes de que ocurra el primer incidente. Usar un marco reconocido también facilita auditorías y certificaciones, porque demuestra que la organización sigue un proceso estructurado y no reacciona de forma completamente ad hoc.