La primera hora del incidente.

La llamada entra a las 6:47 de la mañana a un teléfono que no es el del protocolo, porque el del protocolo nadie lo contesta a esa hora. El gerente de operaciones escucha tres frases —los sistemas de despacho no responden, hay una nota pidiendo rescate en las pantallas, las sucursales empiezan a abrir en cuarenta minutos— y hace lo que haría casi cualquiera: llama a su jefe. El jefe llama al director de sistemas. El director de sistemas convoca una llamada grupal. A las 8:15, catorce personas discuten en paralelo mientras el cifrado avanza por la red, sucursal por sucursal, sin que nadie haya tomado la única decisión que la primera hora exigía: desconectar.

Nada en esa escena es negligencia. Cada llamada fue razonable; cada persona hizo lo que su instinto jerárquico le dictó. Ese es precisamente el diagnóstico: bajo presión, las organizaciones no ejecutan sus planes; ejecutan sus hábitos. Y el hábito corporativo dominante —consultar hacia arriba, esperar consenso, no apagar nada sin permiso— es óptimo para un martes normal y letal para la hora cero de un incidente. La primera hora tiene su propia física, y la física normal de la empresa juega en contra.

Esta pieza de la serie Criterio Ejecutivo baja al terreno donde el criterio se prueba de verdad: los sesenta minutos posteriores a la detección de un incidente grave. Retoma lo que planteamos para gobiernos locales en ciberseguridad territorial —la defensa como conjunto de decisiones ensayadas, no como catálogo de herramientas— y lo generaliza: aplica igual al ransomware que a la falla industrial, la fuga de datos o el colapso del proveedor crítico. El adversario cambia; la primera hora, no.

Por qué la primera hora es distinta

Tres asimetrías separan la hora cero de cualquier otra hora de gestión. La primera es de información: se decide con el cinco por ciento de los datos que se tendrán al final, y ese cinco por ciento incluye errores. La segunda es de irreversibilidad: las opciones caducan en minutos —desconectar sirve antes de que el cifrado alcance los respaldos, no después— de modo que el costo de la demora no es lineal sino escalonado: cada umbral que se cruza elimina ramas enteras del árbol de decisión. La tercera es de carga cognitiva: el estrés estrecha la atención y degrada exactamente las funciones que la sala cree estar usando — ponderación, memoria de trabajo, perspectiva.

De las tres asimetrías se deduce el principio de diseño de todo lo que sigue: mover las decisiones fuera de la hora. Todo lo que pueda decidirse antes —quién manda, qué se apaga, a quién se llama, qué se dice— debe estar decidido antes, no porque los planes se cumplan al pie de la letra, sino porque cada decisión pre-tomada libera minutos y atención para las dos o tres que solo pueden tomarse en vivo. El protocolo no sustituye al criterio; le limpia la mesa.

La objeción habitual —cada incidente es distinto, ningún plan aplica— confunde el contenido con la estructura. Los incidentes son infinitamente variados; las decisiones de la primera hora pertenecen a cuatro familias fijas: mando, contención, comunicación y registro. Sobre esas cuatro se puede decidir por adelantado casi todo lo estructural, dejando al criterio en vivo lo que le corresponde: aplicar la estructura al caso.

Mando: una persona, no un organigrama

La primera decisión pre-tomada es quién manda, y la respuesta correcta incomoda: una persona con nombre, disponible de verdad, con autoridad delegada por escrito para las acciones de contención — incluida la de detener operaciones sin consultar. No un comité de crisis, que es la forma institucional de la llamada grupal de las 8:15; el comité delibera después, cuando la física del incidente lo permita. En la hora cero, la estructura óptima es la del socorrista: un mando de incidente que decide, dos o tres ejecutores, y todos los demás —incluidos los jefes de los anteriores— fuera del canal.

El punto más difícil de tragar para una cultura jerárquica es el último: los jefes fuera del canal. La experiencia de cualquier respondedor veterano es unánime en que el daño típico de la primera hora no lo causa el atacante sino la audiencia — directivos que piden actualizaciones cada diez minutos, sugieren acciones desde la ansiedad y convierten al mando de incidente en un presentador de estatus. Por eso el protocolo maduro incluye un rol explícito de escudo: alguien senior cuya única función es absorber a la jerarquía, alimentarla con cortes de información en horario fijo y mantenerla lejos de los que operan. Nombrar ese rol antes del incidente es la diferencia entre tenerlo y improvisarlo contra el propio director general.

Contención: las decisiones de apagado, decididas en frío

La segunda familia es la más técnica y la que más se beneficia de decidirse en frío: qué estamos dispuestos a apagar, en qué orden, y quién puede ordenarlo. Desconectar la red detiene el cifrado y detiene la facturación; aislar la planta contiene la falla y rompe compromisos de entrega. Son disyuntivas de negocio disfrazadas de decisiones técnicas, y la hora cero es el peor momento para resolverlas desde cero: el costo de cada apagado debe estar tasado antes, en una tabla que el mando de incidente pueda ejecutar sin pedir permiso.

Dos detalles de la matriz valen más que su contenido. El primero: la columna de autoridad está escrita en términos de notificar, no de pedir permiso — la diferencia entre contener en minutos y contener en horas. El segundo: la matriz obliga a la dirección a discutir en tiempos de paz cuánto vale cada pedazo de la operación, una conversación que produce criterio ejecutivo puro y que casi ninguna agenda ordinaria provoca. El documento importa; la discusión que lo produce importa más.

Comunicación: el silencio también es un mensaje

La tercera familia es la que más carreras ha terminado. En la primera hora, la tentación dominante es no decir nada hasta saber todo — y afuera, el vacío se llena solo: empleados que especulan en sus grupos, clientes que notan la falla, y en sectores regulados, plazos legales de notificación que empezaron a correr desde la detección. La contramedida vuelve a ser la pre-decisión: plantillas de primer aviso escritas en frío para cada audiencia —internos, clientes afectados, autoridad, prensa si escala—, que digan lo único que honestamente puede decirse en la hora cero: sabemos que hay un incidente, estamos actuando, este es el canal y esta la hora del siguiente corte.

La disciplina del siguiente corte es el corazón comunicacional del protocolo: prometer la próxima actualización a hora fija y cumplirla aunque no haya novedades. Nada drena más credibilidad que el silencio irregular, y nada la sostiene mejor que la cadencia cumplida — es la versión en crisis de la honestidad sobre incertidumbre que nuestra carta de ética exige a los sistemas: decir lo que se sabe, decir qué no se sabe aún, decir cuándo se volverá a hablar. Las organizaciones que comunican así durante un incidente suelen salir con más confianza de la que entraron; las que enmudecen la pierden aunque contengan impecablemente.

Prometer la próxima actualización a hora fija y cumplirla sin novedades vale más que cualquier comunicado brillante entregado tarde.

Registro: la caja negra del criterio

La cuarta familia es la que todas las demás sacrifican primero y la que más vale después: registrar. Qué se supo, a qué hora, qué se decidió, quién lo decidió y con qué información disponible. En vivo parece un lujo burocrático; semanas después es la única defensa contra la reescritura retrospectiva —el sesgo que convierte cada decisión razonable en negligencia evidente una vez conocido el desenlace— y la única materia prima para aprender algo transferible, como argumentamos al separar calidad de proceso y calidad de resultado. El protocolo resuelve la tensión asignando el registro a un rol dedicado: el escriba del incidente, sin funciones de decisión, con la bitácora como única tarea.

El registro tiene además un efecto en vivo que sorprende a quien no lo ha operado: disciplina la conversación. Cuando cada decisión se dicta en voz alta para la bitácora —«7:32, se aísla el segmento norte, decide mando, base: propagación confirmada en dos servidores»— la sala baja de revoluciones, las órdenes se vuelven explícitas y las discusiones circulares se acortan, porque nadie quiere dictar en voz alta un razonamiento que no resiste dictarse. La caja negra no solo graba el vuelo; lo mejora.

Las decisiones que sí se toman en vivo

Mover las decisiones fuera de la hora no las mueve todas, y conviene ser explícito sobre las que quedan, porque son las que definen al mando. La primera es la clasificación inicial: ¿esto es un incidente o un susto? Declarar incidente activa costos —gente despertada, operaciones tocadas, relojes regulatorios— y no declararlo a tiempo multiplica el daño; el protocolo puede dar criterios, pero el caso concreto siempre llega con ambigüedad de sobra. La segunda es la dosificación de la contención: la matriz tasó cada acción en frío, pero elegir cuánta aplicar —aislar un segmento o desconectar todo— exige leer una situación que ninguna tabla anticipó completa. La tercera es la del punto de no retorno: en qué momento se deja de intentar contener y se pasa a reconstruir, la decisión más cara de la hora y la que más se aplaza por esperanza.

Para esas tres, el protocolo no da respuestas: da andamios de juicio. Reglas de dedo pulgar acordadas en frío —«ante ambigüedad sostenida por más de quince minutos, se clasifica como incidente; bajar de categoría es barato, subir tarde no»—, umbrales de escalada de contención expresados en señales observables, y para el punto de no retorno, la más valiosa de las herramientas: un límite de tiempo pre-acordado a los intentos de contención, pasado el cual la carga de la prueba se invierte y hay que justificar seguir intentando, no dejar de hacerlo. Los andamios no sustituyen el criterio del mando; le quitan de encima el peso de inventar la vara mientras la usa.

Hay una cuarta decisión en vivo que los protocolos técnicos olvidan y los directivos no pueden delegar: la de proporcionalidad institucional. ¿Este incidente amerita al director general visible, o su aparición lo agranda? ¿Se cancela el evento público del día, o cancelarlo es el anuncio que nadie ha hecho? Son lecturas de contexto puro, imposibles de tabular, y la única preparación real es haberlas discutido en abstracto durante los ensayos — que es otra razón por la que el ensayo necesita a la dirección presente y no solo al equipo técnico.

El incidente en cadena: cuando el golpe viene por un tercero

Una fracción creciente de las primeras horas no empieza en casa: empieza en el proveedor de nube, en la plataforma logística, en el corresponsal de pagos — y la organización se entera a la vez que el público, sin acceso al sistema afectado ni al equipo que lo repara. La primera hora de un incidente de terceros tiene su propia trampa: como no hay nada técnico que hacer, se concluye que no hay nada que hacer, y la casa entra en modo espectador justo cuando sus clientes esperan lo contrario. El mando, la comunicación y el registro aplican íntegros; solo la contención cambia de forma — ya no es aislar sistemas propios sino activar alternativas y degradaciones: el modo manual, el proveedor de respaldo, la operación reducida que el plan de continuidad debió dejar lista.

El protocolo maduro trata a los terceros críticos como escenario de primera clase: tiene sus contactos de emergencia verificados —no el ejecutivo de cuenta: el canal de crisis—, conoce los compromisos contractuales de notificación y los ha probado, y ha decidido en frío el umbral de activación de alternativas, porque el costo de conmutar es alto y la tentación de esperar «quince minutos más» a que el proveedor se recupere es la versión de terceros del punto de no retorno. La dependencia sin protocolo es la mitad silenciosa del riesgo que las siete preguntas del consejo intentan cazar antes de la firma.

Errores de manual, vistos en repetición

La experiencia acumulada de primeras horas —propias y ajenas— converge en un catálogo corto de errores que se repiten con independencia del sector, y enunciarlos en frío es vacuna barata:

• Apagar la evidencia: reiniciar los sistemas afectados «para ver si se compone», destruyendo los rastros que la investigación y el seguro necesitarán.
• Negociar sin saber: responder al extorsionador, aunque sea para ganar tiempo, sin asesoría especializada — cada mensaje enseña y compromete.
• El héroe de la primera hora: quien detectó el problema intenta resolverlo solo dos horas antes de avisar, convencido de que puede, mientras los umbrales se cruzan.
• La verdad optimista: comunicar «ya está controlado» al primer indicio de mejora, hipotecando la credibilidad que el segundo golpe va a necesitar.
• El silencio legalista: dejar que el miedo al litigio mudo a la organización frente a clientes que solo necesitaban saber que alguien estaba al timón.

El patrón común de los cinco es idéntico al de toda la serie: son decisiones tomadas por defecto, por la persona equivocada, en el momento de peor información — el reverso exacto de decidirlas por diseño, por el rol correcto, con la cabeza fría. La lista pegada en la sala de crisis no impide los errores; les quita la coartada de la sorpresa.

El ensayo: donde el protocolo se vuelve hábito

Todo lo anterior es papel hasta que se ensaya, y el ensayo es el punto donde la mayoría de los protocolos muere de vergüenza: el simulacro anual, anunciado, con guion conocido y café, que valida el documento sin tocar los hábitos. El ensayo que sirve es incómodo por diseño — sin aviso o con aviso mínimo, en horario inconveniente, con la persona clave declarada ilocalizable para forzar la línea de suplencia, y con inyecciones de información falsa para entrenar la verificación bajo presión. No hace falta frecuencia heroica: dos ensayos serios al año superan a doce simulacros de cumplimiento.

1. Ensaye la activación, no solo la respuesta: el tramo que más falla es enterarse-a-mando-establecido.
2. Declare indisponible al titular: la suplencia no ensayada es una vacante disfrazada.
3. Inyecte un dato falso verosímil: la primera hora real siempre trae uno.
4. Termine cada ensayo con la bitácora leída en voz alta: los huecos del registro son los huecos del mando.
5. Corrija el protocolo en la semana siguiente o el ensayo fue teatro con logística.

Hay un subproducto del ensayo que ningún presupuesto de seguridad captura: forma criterio ejecutivo general. Los directivos que han pasado por tres ensayos serios deciden mejor también en las crisis que no son incidentes —el cliente ancla que amaga con irse, la cobertura de prensa hostil, la falla del proveedor único— porque interiorizaron la estructura: mando único, opciones tasadas en frío, cadencia de comunicación, registro. La primera hora es la escuela de decisión más cara del mundo si se cursa en vivo, y una de las más baratas si se cursa en simulacro.

Después de la hora: el puente hacia la gestión

La primera hora termina, si el mando hizo su trabajo, con el incidente clasificado, la contención dosificada y la cadencia de comunicación corriendo. Lo que sigue —horas, días, a veces semanas— es otra disciplina: la gestión sostenida de crisis, con rotación de personal para no fundir al equipo de la primera guardia, con la transición del mando de incidente hacia estructuras más deliberativas conforme la física lo permite, y con el enlace hacia el plan de continuidad si la restauración va a tardar. El error de bisagra clásico es prolongar el modo primera hora más allá de su vigencia: el mando único y la velocidad sin consulta, óptimos en la hora cero, se vuelven tóxicos al tercer día, cuando el problema ya no es la contención sino la coordinación de muchas manos cansadas.

El protocolo maduro define esa bisagra con la misma frialdad que todo lo demás: qué condiciones desactivan el modo de emergencia, quién lo declara y qué estructura lo releva. Sin la bisagra escrita, el modo crisis se perpetúa por inercia —a la gente le cuesta soltar la adrenalina y la autoridad— y la organización descubre semanas después que sigue gobernada por un comité de guerra para un problema que ya solo necesita un buen gerente de proyecto.

Y una nota final sobre la revisión posterior, que es donde la primera hora paga sus dividendos de aprendizaje: se revisa contra la bitácora del escriba, con la regla de calidad de proceso que atraviesa esta serie — qué se sabía a cada hora, no qué se sabe ahora. La revisión que juzga con el desenlace en la mano no produce aprendizaje; produce silencio defensivo para el siguiente incidente. La que reconstruye la niebla real de las 6:47 produce el único activo que las crisis dejan gratis: criterio probado, documentado y transferible.

Empezar mañana, sin presupuesto

El protocolo completo cabe en pocas páginas y su versión mínima cabe en una tarde de trabajo directivo: nombrar mando y suplente, nombrar escudo y escriba, tasar las cuatro o cinco acciones de contención en la matriz, escribir las plantillas de primer aviso, fijar la regla del siguiente corte. Nada de eso requiere comprar tecnología; requiere sostener las conversaciones incómodas que el martes normal permite posponer — cuánto vale cada pedazo de la operación, quién decide apagarlo, qué le decimos a quién. Posponerlas no las cancela: las agenda automáticamente para las 6:47 de la peor mañana del año, con el peor moderador posible, que es el pánico. La propuesta de esta pieza es solo adelantar la junta.