Registro de la gestión de incidentes

Qué exige, en claro

Registrar todas las actuaciones de la gestión de incidentes (op.exp.7): el reporte inicial, las actuaciones de emergencia, la evolución, las modificaciones que el incidente provoque en el sistema y su cierre. El registro permite reconstruir qué pasó y qué se hizo.

Preservar las evidencias del incidente de forma que puedan sostener un análisis posterior — incluida, si procede, la persecución del delito ante los tribunales — y alimentar la mejora continua: métricas de incidentes, tiempos de respuesta y lecciones aprendidas.

Cuándo aplica y cómo escala

Exigible a partir de categoría MEDIA (y en ALTA). En BÁSICA, un registro mínimo de incidentes sigue siendo la diferencia entre aprender y tropezar dos veces. Confírmalo en la valoración formal del sistema.

Ejemplos de implementación

• Cada incidente abre un expediente (ticket) con cronología, severidad, acciones, responsables y cierre; los registros técnicos relevantes se exportan y archivan con el expediente.
• Informe trimestral: número de incidentes por tipo y severidad, tiempo medio de detección y resolución, y acciones de mejora derivadas.

Errores habituales

• Resolver el incidente y no escribir nada: sin registro, para el ENS no ocurrió — y no se aprendió.
• Machacar las evidencias al restaurar el servicio (formatear la máquina comprometida sin preservar nada).
• Registrar solo los incidentes «grandes»: los pequeños repetidos son la señal de los grandes por venir.
• No cerrar el ciclo: expedientes eternamente abiertos sin causa raíz ni acciones.

Evidencias que suele ser razonable preparar

• El registro de incidentes con expedientes completos (cronología, acciones, cierre).
• Evidencias técnicas preservadas de incidentes relevantes.
• Métricas periódicas de incidentes y su presentación a los responsables.
• Acciones de mejora derivadas de incidentes, con seguimiento.

Preguntas que debería hacerse el responsable

• ¿Podrías reconstruir, con papeles, el último incidente serio de principio a fin?
• ¿Las evidencias se preservan antes de restaurar?
• ¿Cuántos incidentes hubo el último trimestre y cuánto se tardó en resolverlos?
• ¿Qué cambió en el sistema a raíz del último incidente?

Fuente oficial: Anexo II del Real Decreto 311/2022 y Guía CCN-STIC 817 · Gestión de ciberincidentes (CCN-CERT). Ficha elaborada por Roberto Mickel, fundador y CTO de ENSFácil; revisada el 25 de agosto de 2026: la aplicabilidad exacta y los refuerzos dependen de la categoría y valoración de tu sistema — verifica siempre la versión vigente de la norma y de las guías.