Todos los manuales de respuesta ante incidentes incluyen medidas de aislamiento. Segmentar la red. Cortar el acceso externo. Contener el alcance del incidente. Son las medidas adecuadas.

Pero el aislamiento plantea un segundo problema que la mayoría de los manuales de procedimientos consideran responsabilidad ajena: una vez que se ha aislado el entorno afectado, ¿cómo se coordina tu equipo? Si tus teléfonos funcionan a través de la red que acabas de aislar, o si el adversario ha interrumpido las telecomunicaciones antes de que detectaras la intrusión, tu equipo de respuesta está operando en silencio justo en el momento en que más necesita actuar con rapidez.

Los escenarios de interrupción de infraestructuras de la CISA contemplan explícitamente las acciones de los adversarios contra las telecomunicaciones como una táctica multiplicadora de la fuerza, diseñada no solo para degradar las comunicaciones, sino también para retrasar, fragmentar y desviar la respuesta. Los ataques contra las empresas de suministro de agua de julio de 2026 reforzaron lo que describen dichos escenarios. Las empresas de servicios públicos que contaban con una coordinación fuera de banda preestablecida se recuperaron más rápidamente. Aquellas que no la tenían se enfrentaron a interrupciones prolongadas, sin una forma fiable de coordinarse entre las distintas instalaciones una vez que los sistemas digitales quedaron comprometidos.

A continuación se explica qué debe incluir una capa de coordinación fuera de banda, cómo debe funcionar en las condiciones de las primeras seis horas y cómo comprobar que funciona antes de que un incidente exija una demostración.

Por qué las primeras seis horas son las más peligrosas

El periodo comprendido entre la detección inicial y la movilización total del equipo es el que entraña mayor riesgo. Las decisiones que se tomen durante ese intervalo determinan el curso de toda la respuesta.

En ese intervalo se dan tres condiciones.

1. Se desconoce el alcance del incidente. Para determinar si se trata de una intrusión aislada o de una campaña coordinada, es necesario que exista comunicación entre las distintas sedes, funciones y organismos, y hay que tener la certeza de que esas comunicaciones no se hayan visto comprometidas a su vez.
   

2. La infraestructura de comunicaciones habitual es sospechosa. Si un adversario lleva el tiempo suficiente dentro de la red como para haber accedido a los sistemas de tecnología operativa, no se puede dar por sentado que los sistemas de mensajería interna, el correo electrónico y la voz sobre IP estén a salvo. El uso de un canal comprometido para coordinar la respuesta ante un ataque es una técnica documentada que emplean los adversarios para ralentizar y desviar la recuperación.
   

3. Las exigencias de coordinación externa aumentan considerablemente. Comienzan los plazos de notificación reglamentarios. Los socios de ayuda mutua necesitan conocer la situación. Las fuerzas del orden y los organismos federales necesitan información precisa y oportuna para respaldar la respuesta. Todo ello debe realizarse a través de canales que estén disponibles y sean fiables al mismo tiempo.

La mayoría de los manuales abordan la primera condición. Son mucho menos los que abordan la segunda y la tercera con el mismo rigor que se aplica a la contención técnica.

Qué significa «fuera de banda» en la práctica

El término «fuera de banda» se ha utilizado de forma tan imprecisa en la planificación de la seguridad que ha perdido su precisión. Una verdadera capacidad de coordinación fuera de banda presenta tres características definitorias.

1. Funciona de forma independiente de la infraestructura afectada por el incidente. Un canal que pasa por la misma red que se está aislando no se considera «fuera de banda», independientemente de cómo se denomine. La verdadera independencia implica rutas físicas independientes, verificación de identidad independiente e infraestructura de autenticación independiente.
   

2. Está disponible antes de que se detecte el incidente. Una crisis no es el momento adecuado para averiguar quién tiene acceso, qué dispositivos están configurados o si el proceso de inscripción se ha completado. La preparación de los dispositivos, la configuración de las políticas y el proceso de inscripción deben completarse y comprobarse con antelación.
   

3. Es fiable. Durante un incidente activo, la identidad de cada participante en una sesión de coordinación es fundamental. Un adversario que conozca la estructura de tu equipo de respuesta puede aprovechar un canal no verificado para introducir información falsa o desviar recursos. La identidad de cada participante debe verificarse continuamente comparándola con un repositorio de identidades conocido y controlado.

La independencia, la disponibilidad y la confianza definen el estándar mínimo de diseño para una capa de comunicaciones de respaldo.

Tres requisitos de diseño para una capa de comunicaciones de reserva viable

Requisito n.º 1: Distribución autónoma e independiente de la red

La capa de respaldo debe funcionar cuando la infraestructura de red principal no esté disponible, se encuentre degradada o sea abiertamente hostil. Su mecanismo de entrega no puede compartir las mismas vías de telecomunicaciones que las operaciones estándar, ni puede depender de servidores internos que puedan estar aislados, comprometidos o fuera de alcance.

Entre las opciones prácticas se incluyen dispositivos móviles preconfigurados con rutas de datos independientes, aplicaciones de voz y mensajería cifradas que funcionan sin depender de servidores internos, y configuraciones de implementación que mantienen la disponibilidad cuando no se puede acceder a la infraestructura principal. La entrega a través de la red móvil ofrece resiliencia geográfica y no depende de su red principal. Para entornos con los requisitos de seguridad más exigentes, las implementaciones aisladas físicamente o en las propias instalaciones garantizan que la plataforma de coordinación permanezca fuera del alcance de un adversario que haya accedido a su entorno principal.

A la hora de evaluar soluciones para este requisito, da prioridad a las plataformas diseñadas específicamente para entornos de alta seguridad. Busca un cifrado completo de extremo a extremo con protección de metadatos tanto para voz como para mensajería, compatibilidad con implementaciones locales o aisladas físicamente, y una arquitectura que mantenga el canal de coordinación totalmente independiente de tu red principal. Cuando la red principal sufra un incidente, el canal fuera de banda debe permanecer disponible y no verse afectado, independientemente de lo que ocurra en la infraestructura principal.

Requisito n.º 2: Verificación continua de la identidad

Durante un incidente, la identidad de todas las personas que participan en una llamada de coordinación es una cuestión operativa, no procedimental. Las estructuras de los equipos de respuesta no son secretos. Un adversario con suficiente conocimiento de tu organización puede aprovechar un canal no verificado para suplantar la identidad del personal, introducir información falsa sobre la situación o redirigir los recursos de respuesta en un momento crítico. El canal por el que se transmiten tus decisiones de recuperación debe poder confirmar quién participa en él.

La capa de respaldo debe garantizar una verificación continua de la identidad, no solo al iniciar sesión, sino a lo largo de toda la sesión. Se debe validar a cada participante cotejando sus datos con un repositorio de identidades oficial y actualizado que controle su organización. Los dispositivos deben registrarse, gestionarse y confirmarse como de confianza antes de que puedan unirse a una sesión de crisis, y se debe denegar automáticamente el acceso a cualquier dispositivo que no pueda verificarse.

La gestión de dispositivos móviles en entornos gubernamentales debe ir más allá de la mera aplicación de políticas durante las operaciones normales. La plataforma que regula los dispositivos de coordinación en situaciones de crisis debe verificar el estado de seguridad actual antes de conceder el acceso, vincular cada sesión a una identidad de usuario confirmada y permitir la gestión remota o la retirada de servicio de cualquier dispositivo que se pierda, sea robado o se vea comprometido durante un incidente activo. Esa capa de control, aplicada de forma coherente en todos los dispositivos del entorno de coordinación, es lo que hace que la verificación continua de la identidad sea fiable desde el punto de vista operativo, en lugar de quedarse en una mera aspiración.

Requisito n.º 3: Visibilidad operativa unificada

La coordinación en situaciones de crisis exige algo más que la simple transmisión de mensajes. Requiere una visión compartida de la situación entre equipos que pueden estar geográficamente dispersos, que trabajan con conjuntos de información diferentes y que responden a circunstancias que evolucionan constantemente. Sin una visión global unificada, los responsables de la gestión de incidentes toman decisiones basadas en lo que sabían al inicio del incidente, y no en lo que está ocurriendo sobre el terreno.

La capa de respaldo debe ir más allá de la simple comunicación punto a punto. Debe proporcionar una visión operativa compartida: quién está respondiendo, dónde, con qué recursos y ante qué situaciones confirmadas o sospechosas. Las alertas deben llegar a las personas adecuadas a través de los canales adecuados, incluido el personal que pueda no encontrarse en su puesto de trabajo habitual. La información de campo debe llegar a los responsables de la gestión de incidentes en tiempo real, de forma lo suficientemente estructurada y oportuna como para fundamentar las decisiones, en lugar de contribuir a la confusión.

A la hora de evaluar plataformas que cumplan este requisito, hay que buscar soluciones que unifiquen las alertas multicanal, el seguimiento del estado del personal, el geofencing y la comunicación bidireccional sobre el terreno en una única vista operativa. El objetivo es proporcionar a los responsables de la gestión de incidentes información en tiempo real sobre quién ha respondido, quién no y cuál es la situación sobre el terreno, todo ello sin depender de la infraestructura de comunicaciones principal, que podría verse comprometida. Las plataformas que admiten respuestas estructuradas obligatorias con seguimiento de acuses de recibo resultan especialmente valiosas: convierten las alertas en acciones verificables, en lugar de simples mensajes que pueden haber sido vistos o no.

Una arquitectura de respaldo eficaz cumple los tres requisitos a la vez: una prestación independiente que resista un fallo de la red principal, una verificación continua de la identidad que confirme la identidad de cada participante a lo largo de toda la sesión y una visión operativa unificada que ofrezca a los responsables de la gestión de incidentes una visión en tiempo real de todos los equipos que intervienen.

Las primeras seis horas: guía paso a paso del escenario

Primera hora: Detección y contención inicial

Los operadores detectan discrepancias en la lógica de escalera en varias instalaciones. La investigación revela que se han modificado archivos de proyecto en los controladores lógicos programables. El responsable de la gestión del incidente activa el plan de respuesta e inicia el aislamiento de los sistemas afectados.

Si el canal principal de coordinación del equipo de respuesta pasa por la red que se está aislando, la comunicación se interrumpe en ese momento. Si el equipo ha configurado previamente dispositivos fuera de banda, la coordinación continúa sin interrupciones. Se envía una alerta multicanal a todos los miembros del equipo de respuesta designados, en la que se confirma la activación y se indica al personal que utilice el canal fuera de banda. Se comprueba el estado de seguridad de cada miembro del equipo de respuesta antes de concederle acceso a la sesión.

Segunda y tercera horas: Evaluación del alcance y notificación externa

El equipo de respuesta se encarga de determinar el alcance del incidente en varias sedes. La coordinación entre sedes es fundamental y debe llevarse a cabo a través de un canal que no corra riesgo alguno.

La capa fuera de banda permite esto gracias a servicios de voz y mensajería cifrados que funcionan con independencia de la red afectada. Al mismo tiempo, el responsable de la gestión del incidente pone en marcha notificaciones externas a los organismos reguladores y a las agencias federales mediante flujos de trabajo fuera de banda preconfigurados. Se cumplen los plazos de notificación sin necesidad de realizar un seguimiento manual en situaciones de presión.

Horas cuarta a sexta: desalojo, recuperación y coordinación continuada

A medida que el equipo pasa de la contención a la evacuación y la recuperación, las necesidades de coordinación cambian de una movilización rápida a una comunicación sostenida y estructurada. El personal sobre el terreno informa de la situación a través del canal externo, utilizando el formato de informe estructurado que especifique el plan de incidentes. Los responsables de la gestión de incidentes mantienen una visión operativa unificada mediante la consolidación de los informes de campo, el seguimiento del estado del personal y la actualización de la visión compartida de la situación a medida que evolucionan las circunstancias.

A lo largo de esta fase, la integridad del canal de coordinación depende de que se mantengan de forma continua la verificación de identidad y los controles de estado de los dispositivos. Ningún participante debería poder unirse a una sesión sin que se haya confirmado y verificado su identidad. Cualquier dispositivo que no supere una comprobación de estado debería perder el acceso de forma automática e inmediata.

Un ejercicio de simulación de una hora: las comunicaciones en situaciones de interrupción

Preparación del escenario (10 minutos)

Informe a los participantes de las siguientes condiciones: su red interna principal ha sido aislada en el marco de una respuesta activa a un incidente. El correo electrónico principal, la telefonía por IP y la mensajería interna no están disponibles. Existe una obligación de notificación reglamentaria con un plazo de cuatro horas. Su capacidad de comunicación fuera de banda está operativa.

Ejercicio de la fase uno: Coordinación inicial (15 minutos)

Activa el canal fuera de banda y comprueba que se pueda contactar con todos los responsables designados. Anota quién se ha conectado al canal en un plazo de cinco minutos, quién ha necesitado ayuda y con quién no se ha podido contactar. Anota todos los dispositivos que no hayan superado la verificación de estado.

Preguntas clave: ¿Quién tiene la autoridad para activar el canal fuera de banda? ¿Está documentado el procedimiento de activación y se puede consultar sin necesidad de acceder a la red? ¿Pueden todos los responsables designados autenticarse desde su ubicación actual?

Segunda fase del ejercicio: Conciencia situacional (15 minutos)

Se exige al jefe de operaciones que establezca un panorama operativo común utilizando únicamente el nivel «fuera de banda». El personal sobre el terreno informa de la situación. El jefe de operaciones sintetiza la situación actual para una sesión informativa simulada dirigida a los altos cargos.

Preguntas clave: ¿Cuánto tiempo se tarda en establecer una visión operativa compartida? ¿Qué lagunas de información persisten tras 15 minutos? ¿Qué pasos manuales son necesarios que, en condiciones normales, se automatizarían?

Ejercicio de la fase tres: Coordinación externa (15 minutos)

Simula la notificación reglamentaria y la coordinación con los organismos federales utilizando únicamente la capa fuera de banda y los flujos de trabajo preconfigurados.

Preguntas clave: ¿Las plantillas de notificación están preinstaladas y se puede acceder a ellas sin conexión a Internet? ¿Conoce el equipo los contactos y los plazos correctos? ¿Hay una persona designada como responsable de comunicaciones para la coordinación externa?

Resumen (5 minutos)

Identifica tres deficiencias concretas y asigna la responsabilidad de su subsanación. Programa una nueva sesión en un plazo de 90 días.

Crear una continuidad en las comunicaciones que se mantenga bajo presión

La primera vez que se pruebe un sistema de comunicaciones de respaldo no debería ser durante un incidente real. Una arquitectura de comunicaciones fuera de banda, soberana y verificada de forma continua, basada en plataformas soberanas diseñadas específicamente para este fin, proporciona la capa de coordinación que el aislamiento por sí solo no puede ofrecer.

El reto rara vez es el aislamiento en sí mismo. Se trata de mantener la coordinación una vez que el aislamiento ha interrumpido los sistemas de los que la gente suele depender. Para resolverlo se requiere un diseño cuidadoso, una preparación previa y pruebas contrastadas antes de que los teléfonos dejen de funcionar.

Un punto de partida útil: si la red principal dejara de estar disponible hoy mismo, ¿cómo se coordinaría tu equipo de respuesta y qué grado de confianza tienes en que esos canales funcionarían? Esa única pregunta pondrá de manifiesto la mayoría de las deficiencias que se describen en este artículo. Utiliza el ejercicio de simulación anterior como punto de partida, documenta lo que descubras, asigna responsabilidades y vuelve a realizar la prueba en un plazo de 90 días.

Lecturas relacionadas:
Lecciones de los ataques a las empresas de suministro de agua de julio: qué recomienda el aviso conjunto a los operadores para el futuro
Por qué la planificación del aislamiento de las tecnologías operativas (OT) requiere continuidad en las comunicaciones