Identificación de Brechas en el Proceso de Respuesta

Identificar brechas en el proceso de respuesta significa evaluar críticamente no solo lo que hizo el atacante, sino cómo actuó el propio equipo, buscando puntos donde el plan falló, se ejecutó tarde o simplemente no existía un procedimiento definido para la situación encontrada. En la práctica, esto requiere revisar cada fase de la respuesta, desde la detección hasta la recuperación, comparando los tiempos reales contra los objetivos establecidos y preguntando explícitamente en cada etapa qué hubiera permitido actuar más rápido o de forma más efectiva. Las brechas más reveladoras suelen estar en los márgenes del proceso formal, como la falta de acceso de emergencia a un sistema crítico durante un fin de semana o la ausencia de un procedimiento claro cuando dos alertas de severidad distinta ocurren simultáneamente. Documentar estas brechas sin filtro, incluyendo las que resultan incómodas para el equipo o la dirección, es lo que distingue una revisión post-incidente que genera mejora real de una que solo cumple con el trámite formal de cerrar el caso.