A menudo se habla de la respuesta ante incidentes cibernéticos en términos fríos: «análisis post mortem», «reconstrucción de los hechos», «gestión de crisis». Pero detrás de estas palabras se esconde una realidad mucho más viva —a veces brutal, siempre exigente— llena de urgencias, noches en vela y compromisos entre el rigor técnico y los retos humanos.
Y, sobre todo, de una dedicación total.

He aquí tres anécdotas reales que ilustran lo que realmente implica esta profesión. Tres situaciones muy diferentes, pero con un mismo hilo conductor: la necesidad de estar preparado. En todo momento. Y en cualquier lugar.

1. 30 de diciembre, 23:30 h. Una llamada procedente de Chipre.

Estamos en Berlín, mi pareja y yo, para celebrar el fin de año. El ambiente es festivo, la nieve cae suavemente, los fuegos artificiales están listos. Mi teléfono vibra: un número chipriota.

Al otro lado de la línea, una empresa que está sufriendo un ataque. No saben a quién recurrir, no tienen un proveedor concreto, pero la situación es crítica.
Me tomo un momento. Luego pongo en marcha mis reflejos: llamo a mi red de contactos, despierto a amigos, socios y expertos. Estamos reunidos hasta las 2 de la madrugada.
El resto del fin de semana de Año Nuevo lo dedicamos por completo a gestionar la crisis.

Aquella noche aprendí (una vez más) que en esta profesión no se elige ni la hora ni el lugar. Hay que poder responder de inmediato, incluso cuando la vida personal te pediría estar en otro sitio. Es una profesión que no admite medias tintas.

2. Viernes por la noche en Bélgica: entre el derecho, la técnica y el centro de datos.

Esa noche, estoy de viaje en Bélgica. Me llama un abogado. En los minutos siguientes, también se pone en contacto conmigo un socio especializado en ciberseguridad: una gran empresa se enfrenta a una grave filtración.
Pero duda. Conoce los despachos de auditoría tradicionales, pero no a los especialistas en respuesta a incidentes. Quiere hacerlo bien, pero no sabe por dónde empezar.

El fin de semana lo dedicamos a debates y a tomar decisiones. Finalmente, acepta recurrir a expertos especializados. Y, sobre todo, quiere conservar pruebas de cara a una posible acción legal contra un proveedor externo.
Me veo en la situación de tener que encargar discos duros y servidores de almacenamiento, que monto e instalo en el centro de datos, en presencia de un notario, para copiar decenas de terabytes de datos cifrados y registros.

Responder a una incidencia no es solo «trabajar en informática». Es saber actuar dentro de un marco legal, comprender la lógica de los abogados y garantizar una trazabilidad impecable.
Y sobre el terreno, también hay que saber manejar un conmutador, un NAS o una bahía de almacenamiento, sin manuales ni tiempo que perder.

3. Viernes a las 15:00 h: llamada para Valencia, presente allí a las 10:30 h del día siguiente.

Ese viernes por la tarde, me llama un socio estadounidense: puede que haya que prever una intervención en Valencia (España) para coordinar la respuesta a una incidencia in situ.
Las conversaciones se suceden. A las 21:00 h, se confirma: tengo que partir.
Cojo el primer vuelo a la mañana siguiente a las 7:30 h. A las 10:30 h, ya estoy allí, informado sobre la infraestructura y listo para coordinar las primeras medidas.

Una vez más, la disponibilidad es clave, pero también la capacidad de adaptación rápida: nuevo contexto, nuevos equipos, nuevas limitaciones.
Y hay que estar operativo de inmediato —no en 48 horas, sino en una hora—.

Las competencias sobre el terreno (y no solo las teóricas)

Estas tres situaciones no tienen nada de excepcional para quien ejerce esta profesión habitualmente. Sobre todo, ponen de manifiesto una cosa: para intervenir con eficacia, se necesita mucho más que conocimientos teóricos.

• Hay que dominar a la perfección la administración de sistemas y redes.
• Saber configurar un cortafuegos o poner en marcha un servidor de forma urgente.
• Conocer los procedimientos delicados: rotación de contraseñas Kerberos, distinción entre reconstrucción y mejora, trazabilidad para la aseguradora.
• Y, sobre todo, saber actuar sin esperar al visto bueno formal de un comité, pero sin comprometer nunca la seguridad ni la legalidad.

Y una reflexión personal…

No podría ejercer esta profesión sin el apoyo incondicional de mi mujer.
Nunca ha puesto los ojos en blanco ante una llamada tardía, un fin de semana cancelado o un despertar en pánico por culpa de un ransomware. Entiende que lo que hago es importante. Y que, a veces, es importante de inmediato.

Responder a un incidente cibernético no es solo analizar registros.
Es estar ahí, en el momento adecuado (que a menudo es el peor), con las habilidades adecuadas, la red adecuada y la actitud adecuada.

En CnC Expertise, tomamos esa decisión. La de responder, actuar y apoyar a nuestros clientes tanto en situaciones de emergencia como en la reconstrucción.

Porque en ciberseguridad, lo que importa no es solo saber.
Es saber reaccionar.