Son las 3:12 de un domingo en un feriado largo. En una empresa de tamaño mediano, una credencial administrativa legítima comienza a acceder a carpetas de red que nunca había tocado. La herramienta de detección hace exactamente aquello para lo que fue contratada: identifica el comportamiento anómalo, clasifica el evento como crítico, dispara un correo electrónico y enciende un tablero en rojo. La alerta es efectivamente leída a las 9:40 del lunes. En ese intervalo de treinta y cuatro horas, lo que era un problema técnico manejable se convirtió en un problema de facturación, de contratos y de reputación.
La escena incomoda porque es banal. La mayoría de las organizaciones ya invirtió en antivirus avanzado, EDR (Endpoint Detection and Response, detección y respuesta en endpoints), MFA (Multi-Factor Authentication, autenticación de múltiples factores) y recolección centralizada de registros de nube. La detección dejó de ser el cuello de botella. El cuello de botella pasó a ser el intervalo entre que se dispara la alerta y que alguien con autoridad toma la decisión que contiene el daño. Casi ninguna empresa mide ese intervalo, y prácticamente ninguna lo mide fuera del horario laboral, en feriados o durante las vacaciones del equipo.
Según el Microsoft Digital Defense Report, el tiempo promedio para que un atacante comience a moverse lateralmente dentro del entorno tras el compromiso inicial es de aproximadamente 72 minutos. La ventana útil de respuesta, por lo tanto, se mide en minutos. La capacidad de respuesta de la mayor parte de las empresas se mide en turnos, días hábiles y horario de oficina. Esa asimetría, y no la marca del software instalado, es el riesgo real que el directorio debería ver.
El presupuesto está concentrado en una función de seis
El NIST Cybersecurity Framework 2.0, publicado en 2024, organiza la seguridad en seis funciones: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. Detectar es solo una de ellas. Responder y Recuperar son funciones distintas, con procesos, responsables y métricas propias. En la práctica presupuestaria de las empresas, sin embargo, la abrumadora mayoría de la inversión va hacia Proteger y Detectar, porque esas son las funciones que se compran con una orden de compra. Responder y Recuperar exigen personas disponibles, autoridad delegada y ensayo, tres cosas que ningún proveedor entrega en una caja.
El Cisco Cybersecurity Readiness Index de 2025 muestra que apenas el 4% de las organizaciones evaluadas alcanza el nivel de madurez considerado adecuado para el escenario de amenazas actual, incluso entre empresas que declaran una inversión creciente en seguridad. El dato es revelador porque separa dos cosas que los gestores suelen confundir: tener tecnología y tener capacidad operativa. La tecnología está distribuida de forma razonablemente democrática en el mercado. La capacidad de actuar sobre lo que ella produce, a las 3 de la madrugada, no lo está.
El mecanismo de causa y efecto es más perverso de lo que parece. Cada nueva herramienta agregada al entorno multiplica el volumen de señales generadas, pero la capacidad de triaje humano permanece constante. El resultado es la fatiga de alertas, el fenómeno en el que profesionales expuestos a cientos de notificaciones diarias, la mayoría de ellas irrelevantes, desarrollan el hábito organizacional de ignorar. Cuando la señal verdadera finalmente aparece, llega vestida igual que los falsos positivos de las últimas seis semanas. Comprar más detección sin ampliar la capacidad de respuesta no reduce el riesgo. Aumenta el ruido en el que el incidente real va a esconderse.
Está además el efecto compuesto del tiempo. En un ataque de secuestro de datos, el intervalo entre el acceso inicial y el cifrado a gran escala suele ser de horas, no de segundos. Contener en los primeros noventa minutos normalmente significa perder un servidor. Contener después de treinta horas normalmente significa restaurar el entorno entero, renegociar plazos con clientes y explicar lo ocurrido a socios y reguladores. El informe anual de IBM sobre el costo de las violaciones de datos indica que el ciclo promedio entre identificar y contener un incidente supera los doscientos cuarenta días en las organizaciones sin operación de vigilancia continua, y que el costo crece de forma consistente con la duración de ese ciclo.
Sume a eso la dimensión contractual y regulatoria. Regímenes como el GDPR en Europa y la LGPD en Brasil establecen plazos cortos, típicamente de 72 horas, para la notificación de incidentes relevantes a las autoridades. Los contratos corporativos con cláusulas de nivel de servicio y de disponibilidad transforman horas de parada en multas mensurables. La latencia de respuesta, que parece un detalle operativo, aparece después en el estado de resultados como pérdida de ingresos, nómina ociosa, penalidades y descuento en la renovación de contratos.
Cómo tratar la respuesta a incidentes como proceso de negocio
El primer movimiento es dejar de tratar la respuesta como un asunto técnico y pasar a tratarla como un proceso con responsable, plazo y costo, exactamente como el cierre contable o la entrega logística. Eso significa nombrar a un responsable del proceso, definir un SLA (Service Level Agreement, acuerdo de nivel de servicio) interno para la contención de eventos críticos y revisar ese indicador en la misma reunión en la que se revisan las ventas y el margen. Si el tiempo de contención no es discutido por la dirección, no es gestionado por nadie.
El segundo movimiento es escribir el árbol de decisión antes de la crisis. No basta con saber quién responde por el tema, es necesario definir qué acciones están preautorizadas sin consulta: aislar un endpoint, bloquear una cuenta, cerrar sesiones activas, cortar un enlace. Sin delegación escrita, el profesional de guardia hará lo único que protege su carrera, que es escalar y esperar. Esperar es la decisión más cara del repertorio. El costo de un aislamiento innecesario es una mañana de productividad. El costo de esperar autorización durante treinta horas es semanas de operación.
El tercer movimiento es probar fuera del horario laboral. Un ejercicio de mesa realizado un martes a las 15h prueba muy poco. El mismo ejercicio conducido un domingo, sin aviso, con el gerente titular de vacaciones, revela el número verdadero. Las empresas que hacen esto descubren cosas incómodas y baratas de corregir: teléfonos desactualizados, listas de contactos almacenadas únicamente dentro del sistema que quedó indisponible, credenciales de emergencia que nadie sabe dónde están. Vale la pena anclar esa decisión en una operación de seguridad gestionada cuando el volumen de eventos supera la capacidad del equipo interno.
El cuarto movimiento es decidir por criterio económico qué queda dentro de casa y qué exige respaldo externo. Mantener una vigilancia genuina de 24 horas por 7 días, con cobertura de vacaciones, feriados y ausencias, exige aproximadamente seis profesionales dedicados en régimen de turnos. Pocas organizaciones por debajo de algunos miles de empleados logran justificar ese costo fijo para una función que, en condiciones normales, permanece ociosa. Esa es una cuenta de negocio, no una cuestión de competencia del equipo interno.
1. ¿Cuál es el tiempo promedio entre una alerta crítica y la primera acción de contención en su empresa, y alguien puede probar ese número con datos? 2. ¿Quién, con nombre y teléfono, tiene autoridad para aislar un servidor o bloquear a un usuario a las 3h de la madrugada de un domingo, sin esperar aprobación? 3. ¿Cuánto cuesta, en ingresos detenidos, nómina ociosa y multas contractuales, cada hora adicional de latencia de respuesta en su sector? 4. ¿Por qué comprar más herramientas de detección tiende a empeorar el problema cuando no existe capacidad humana de triaje continuo? 5. ¿Qué puede hacer su empresa por sí sola, qué exige respaldo especializado y cómo decidirlo por criterio económico?
¿Cuál es el tiempo promedio entre una alerta crítica y la primera acción de contención en su empresa, y alguien puede probar ese número con datos?
La respuesta que da la mayoría de los gerentes es una estimación optimista construida sobre el mejor caso observado hasta ahora. El número que importa no es el del horario laboral con el equipo completo. Es el de la madrugada del sábado, con el titular de vacaciones y el suplente en otro huso horario. Pida el registro de los últimos doce meses con tres marcas de tiempo por evento crítico: cuándo se generó la alerta, cuándo un ser humano la leyó y cuándo ocurrió efectivamente la acción de contención.
Dos indicadores bastan para empezar: MTTD (Mean Time To Detect, tiempo promedio hasta la detección) y MTTR (Mean Time To Respond, tiempo promedio hasta la respuesta). Segmente ambos por franja horaria y por día de la semana. Si la diferencia entre el turno laboral y la madrugada es de un orden de magnitud, el problema no es de tecnología, es de escala operativa. Y si el dato simplemente no existe, la respuesta honesta es que el tiempo es desconocido. En gestión de riesgo, desconocido e ilimitado significan lo mismo.
¿Quién, con nombre y teléfono, tiene autoridad para aislar un servidor o bloquear a un usuario a las 3h de la madrugada de un domingo, sin esperar aprobación?
Esa pregunta suele producir un silencio revelador en las reuniones de directorio. Casi siempre existe un responsable formal del tema, pero rara vez existe una delegación escrita de autoridad para actuar sin consulta. En ausencia de ella, la cadena de mando se transforma en cadena de espera, y cada eslabón adicional cuesta minutos que el atacante está usando para propagarse.
La práctica madura es construir una matriz corta de acciones preautorizadas, con nombres, teléfonos y suplentes definidos, más un camino alternativo que no dependa de que una sola persona conteste el celular. Documente también lo inverso: qué decisiones exigen aprobación ejecutiva, para que nadie dude por incertidumbre de alcance. Guarde esa matriz fuera de los sistemas que pueden quedar indisponibles. Un plan de respuesta almacenado únicamente en el entorno comprometido no es un plan, es una esperanza.
¿Cuánto cuesta, en ingresos detenidos, nómina ociosa y multas contractuales, cada hora adicional de latencia de respuesta en su sector?
La cuenta es más simple de lo que parece y cambia por completo la conversación con el área financiera. Sume los ingresos brutos generados por hora operativa, el costo por hora de la nómina que queda impedida de producir, las penalidades contractuales previstas por indisponibilidad y el costo estimado de recuperación y comunicación con clientes. Las empresas de manufactura y logística suelen encontrar valores por hora significativamente mayores de lo que imaginaban, porque la parada se propaga por toda la cadena.
Con ese número en mano, la inversión en capacidad de respuesta deja de ser un gasto de seguridad y pasa a ser una decisión de continuidad con retorno calculable. Si cada hora de parada cuesta un valor conocido, y el respaldo continuo cuesta el equivalente a pocas horas de indisponibilidad por año, la discusión se cierra sola. Una estimación objetiva del costo por hora de indisponibilidad es el primer artefacto que debería existir antes de cualquier nueva compra de herramienta.
¿Por qué comprar más herramientas de detección tiende a empeorar el problema cuando no existe capacidad humana de triaje continuo?
Porque la detección y la respuesta escalan de forma diferente. Las herramientas escalan con licencias, de modo prácticamente lineal y barato. El triaje escala con personas capacitadas, de modo caro y lento. Al agregar una nueva fuente de alertas sin ampliar la capacidad de análisis, la empresa aumenta el denominador sin tocar el numerador, y el porcentaje de alertas efectivamente investigadas se desploma.
El efecto colateral es cultural e irreversible en el corto plazo. Un equipo que aprendió, por repetición, que la mayoría de las alertas críticas no exige acción, tratará la alerta verdadera con la misma indiferencia. Antes de aprobar la próxima adquisición, haga una pregunta simple: ¿qué porcentaje de las alertas clasificadas como críticas en los últimos noventa días fue analizado por un ser humano en menos de quince minutos? Si la respuesta es baja, la inversión correcta no es en detección adicional, es en capacidad de respuesta.
¿Qué puede hacer su empresa por sí sola, qué exige respaldo especializado y cómo decidirlo con criterio económico?
La división saludable rara vez es todo interno o todo tercerizado. El equipo interno es insustituible en aquello que depende del contexto del negocio: saber qué sistema sostiene la facturación, qué cliente no tolera la indisponibilidad, qué decisión exige al presidente en la línea. En cambio, la vigilancia continua, la clasificación de primer nivel y la respuesta en horarios improbables son funciones de escala, y la escala es exactamente lo que un SOC (Security Operations Center, centro de operaciones de seguridad) compartido ofrece a un costo que ninguna operación interna de porte mediano logra replicar.
El criterio de decisión debe ser económico y no emocional. Compare el costo total de mantener cobertura continua propia, incluyendo rotación, capacitación y reemplazo en vacaciones, con el costo del respaldo especializado sumado a la ganancia en tiempo de contención. El orgullo técnico es una de las variables más caras en ese cálculo, porque posterga la decisión hasta que una crisis la tome en lugar del gestor. La pregunta final no es si el equipo es competente. Es si puede, de forma sostenible, estar despierto a las 3 de la mañana de todos los domingos del año.
Preguntas frecuentes
¿Cuál es la diferencia práctica entre detección y respuesta a incidentes?
La detección es la capacidad de identificar un comportamiento anómalo y generar una alerta, función generalmente ejecutada por herramientas automatizadas. La respuesta es la decisión humana que contiene el daño, como aislar un equipo o bloquear una cuenta comprometida. El NIST Cybersecurity Framework 2.0 trata Detectar y Responder como funciones separadas, con responsables y métricas propias, justamente porque invertir en una no produce la otra.
¿Cómo medir el tiempo de respuesta a incidentes fuera del horario comercial?
Registre tres marcas de tiempo para cada evento crítico: la generación de la alerta, la primera lectura por un profesional y la acción efectiva de contención. Segmente esos datos por franja horaria y por día de la semana, comparando el turno comercial con noches, fines de semana y feriados. Una diferencia de un orden de magnitud entre los dos escenarios indica falta de capacidad operativa continua, no falla de tecnología.
¿Cuándo tiene sentido contratar un SOC externo en vez de armar un equipo interno?
Mantener vigilancia real de 24 horas por 7 días, con cobertura de vacaciones, feriados y ausencias, exige cerca de seis profesionales dedicados en régimen de turnos. Las organizaciones por debajo de algunos miles de empleados rara vez justifican ese costo fijo para una función que permanece ociosa en condiciones normales. La decisión debe comparar el costo total interno con el costo del respaldo externo sumado a la ganancia medida en tiempo de contención.
Si el intervalo entre la alerta y la decisión todavía no tiene un número comprobado en su empresa, un Diagnóstico Estratégico de TI sin compromiso es el camino más barato de descubrirlo antes de que una crisis lo revele.