01
Limita la propagación
Si es posible y seguro, aísla los sistemas claramente comprometidos. Evita acciones masivas sin evaluar su impacto.
Primeros pasos
Si el incidente está ocurriendo ahora
Antes de realizar cambios apresurados, protege la operación y evita destruir evidencia necesaria para entender el ataque.
02
Conserva evidencia
No borres logs, correos, archivos sospechosos, alertas, notas de rescate ni otros antecedentes.
03
Registra la hora
Anota cuándo se detectó el incidente y cuándo la organización tomó conocimiento.
04
Activa ayuda especializada
Contacta al equipo para evaluar el escenario y definir los siguientes pasos.
Importante
No existe una única acción correcta para todos los incidentes. Apagar inmediatamente un servidor puede destruir información volátil útil para una investigación forense. Las decisiones deben considerar el escenario, el riesgo operacional y la preservación de evidencia.
Triage inicial
¿Qué tipo de incidente estás enfrentando?
No es necesario que conozcas el diagnóstico exacto. Selecciona lo que más se parece a tu situación y te abriremos WhatsApp con el mensaje listo para enviar.
Activación
Solicitar ayuda urgente
Completa sólo la información disponible. No retrases el contacto intentando determinar información que todavía no conoces.
Canal directoEscríbenos por WhatsApp y te responderemos a la brevedad.
Método
De la crisis a la recuperación
Nuestro enfoque combina respuesta técnica, coordinación, preservación de evidencia y recuperación operacional.
- 01
Triage
Validamos qué ocurre, el alcance inicial, los activos involucrados y el impacto operacional.
- 02
Contención
Definimos acciones para limitar propagación sin comprometer innecesariamente evidencia o continuidad.
- 03
Investigación
Analizamos telemetría, logs, endpoints, identidades, infraestructura e indicadores de compromiso.
- 04
Erradicación
Eliminamos persistencia, accesos maliciosos, vulnerabilidades explotadas y mecanismos del atacante.
- 05
Recuperación
Apoyamos la restauración controlada y segura de servicios, credenciales y sistemas afectados.
- 06
Post incidente
Documentamos causa, impacto, acciones, recomendaciones y mejoras para reducir recurrencia.
Metodología alineada con NIST SP 800-61 Rev. 3, NIST CSF 2.0 e ISO/IEC 27035.
Especialidades
Capacidades de Incident Response
Capacidades técnicas y de coordinación para investigar, contener y recuperar ambientes empresariales.
Digital Forensics / DFIR
Investigación técnica, timelines y preservación de evidencia.
Endpoint Investigation
Análisis de estaciones de trabajo y servidores comprometidos.
Network Investigation
Tráfico, firewall, VPN, IDS/IPS y movimientos laterales.
Identity Investigation
Active Directory, Microsoft 365, privilegios y autenticaciones.
Cloud Incident Response
Investigación de entornos cloud y SaaS.
Threat Intelligence
Indicadores, dominios, IP, hashes, infraestructura y TTP.
Containment & Recovery
Contención, erradicación, restauración y validación posterior.
Incident Coordination
Coordinación con TI, Seguridad, dirección, Legal y proveedores.
Regulatory Support
Información técnica para evaluar obligaciones de reporte.
La determinación jurídica final sobre obligaciones regulatorias corresponde a la organización afectada y sus asesores legales o de compliance cuando corresponda.
Contexto regulatorio chileno
¿Tu organización está sujeta a la Ley 21.663?
Además de contener el ataque, determinados incidentes pueden generar obligaciones de reporte ante el CSIRT Nacional.
3 horas
Alerta temprana
Para instituciones alcanzadas y ante incidentes que puedan tener efectos significativos.
24 / 72 horas
Actualización
Hasta 72 horas en general; determinados OIV con servicios esenciales afectados pueden tener un plazo de hasta 24 horas.
15 días
Informe final
Cuando corresponda conforme al régimen aplicable.
Estos plazos son obligaciones regulatorias de reporte. No representan tiempos técnicos de resolución.
No todos los incidentes ni todas las organizaciones tienen las mismas obligaciones. La reportabilidad debe evaluarse según la organización, el incidente y la normativa aplicable.
BPS es un proveedor privado de servicios de ciberseguridad y no forma parte de ANCI ni del CSIRT Nacional.
Decisiones bajo presión
Durante un incidente, cada decisión importa
El objetivo inicial no es simplemente “apagar el problema”.
- Detener la propagación
- Mantener la continuidad
- Preservar evidencia
- Comprender el alcance
- Eliminar la amenaza
- Recuperar con seguridad
- Evitar una reinfección
- Documentar lo ocurrido
Referencias
Respuesta basada en estándares reconocidos internacionalmente
NIST SP 800-61 Rev. 3
Incident Response Recommendations and Considerations for Cybersecurity Risk Management.
NIST Cybersecurity Framework 2.0
Govern · Identify · Protect · Detect · Respond · Recover.
ISO/IEC 27035
Gestión de incidentes de seguridad de la información.
ISO/IEC 27043
Principios de investigación de incidentes y evidencia digital.
Ley 21.663 – Chile
Marco nacional de ciberseguridad y reporte cuando corresponda.
Estas referencias orientan la metodología de trabajo. Su mención no implica afiliación, certificación ni representación de dichos organismos.
Preguntas frecuentes
No. El triage inicial existe para determinar qué ocurrió, qué está afectado y cuáles son las primeras acciones recomendadas.
¿El incidente está ocurriendo ahora?
No necesitas tener todas las respuestas para comenzar. El primer objetivo es entender la situación, limitar el impacto y definir las acciones correctas.