Playbook: incident response documental

Mezclar lo confirmado con lo inferido degrada la respuesta. Cada registro de trabajo debe decir qué está probado, qué se sospecha y qué pregunta sigue abierta. Ese orden protege la coordinación legal y técnica.

En incidentes documentales, una mala comunicación empeora tanto como una mala contención. Defina quién informa, a quién y con qué nivel de detalle. El resto del equipo necesita trabajar, no improvisar mensajes.

Después del incidente, el aprendizaje debe traducirse en cambios de retención, clasificación, acceso o búsqueda. Si el cierre solo produce un informe y no un control nuevo, la organización pagará dos veces por el mismo error.