· Jonathan Izquierdo · Guías prácticas ·
Ciberataque a tu empresa: protocolo de respuesta en las primeras horas
El tiempo medio de ruptura es de 48 minutos. Te explico el protocolo forense paso a paso para contener un ciberataque y preservar las evidencias desde el minuto cero.
El tiempo medio que tarda un atacante en moverse lateralmente tras el acceso inicial a una red corporativa es de 48 minutos. El dato procede del CrowdStrike 2025 Global Threat Report, que analizó miles de intrusiones reales durante 2024. El caso más rápido documentado: 51 segundos desde el acceso inicial hasta el movimiento lateral (CrowdStrike, GTR 2025). Un año antes, la media era de 62 minutos. Los atacantes son cada vez más rápidos; las empresas, no.
Mientras tanto, el tiempo medio global que tarda una organización en detectar y contener una brecha es de 241 días, según el informe IBM Cost of a Data Breach 2025 (IBM, 2025). Es decir: los atacantes necesitan minutos para causar daño, y las empresas tardan meses en darse cuenta.
En España, la situación es especialmente grave. Se registran más de 45.000 ciberataques diarios, un 35% más que el año anterior. El ransomware ha aumentado un 120% en 2025. Y el 84% de las empresas españolas sufrieron al menos un intento de ciberataque en 2024 (El Derecho, 2025; Channel Partner, 2025).
Como perito informatico forense, he visto empresas perder casos judiciales, seguros y millones de euros por no actuar correctamente en las primeras horas tras un ciberataque. No por falta de tecnologia, sino por falta de protocolo. Este articulo es la guia practica que le entrego a cada cliente antes de que ocurra el incidente.
TL;DR - Resumen ejecutivo
En 60 segundos:
- Breakout time: 48 minutos de media, 51 segundos el mas rapido (CrowdStrike GTR 2025)
- Deteccion global: 241 dias de media en identificar + contener (IBM, 2025)
- Espana 2025: 45.000+ ataques/dia, +35% interanual, 84% empresas atacadas
- Obligacion legal: Notificar AEPD en 72 horas (art. 33 RGPD), NIS2 exige alerta inicial en 24 horas
- Clave forense: Las primeras 3 horas determinan si la evidencia sera valida en juicio o no
- Coste PYME: 2.500-60.000 euros por ataque; gran empresa: 5,5 millones de media
La ventana critica: por que las primeras horas lo deciden todo
El 79% de los ciberataques actuales no utilizan malware tradicional. Son ataques basados en identidad: credenciales robadas, phishing, ingenieria social, abuso de herramientas legitimas del sistema (CrowdStrike GTR 2025). El vishing (phishing por voz) aumento un 442% entre el primer y segundo semestre de 2024. Esto significa que los antivirus no los detectan, los firewalls no los bloquean y las alertas convencionales no saltan.
Cuando un atacante obtiene acceso, tiene 48 minutos de media antes de que su movimiento lateral sea potencialmente detectable. Si en esos 48 minutos nadie reacciona, el atacante ya ha escalado privilegios, accedido a datos criticos y, en muchos casos, desactivado las copias de seguridad.
Segun Google Cloud M-Trends 2025, la mediana de permanencia de un atacante dentro de la red (dwell time) se ha reducido a 11 dias a nivel global (Google Cloud, M-Trends 2025). Parece poco, pero en esos 11 dias un atacante experimentado puede exfiltrar terabytes de informacion, mapear toda la infraestructura y preparar un ataque de ransomware o extorsion coordinado.
Lo que ocurre en las primeras horas despues de detectar el ataque determina tres cosas:
- Si la evidencia digital sera admisible en juicio (cadena de custodia)
- Si la empresa cumplira con sus obligaciones legales de notificacion (RGPD, NIS2)
- Si el coste del incidente sera de miles o de millones de euros
Protocolo INCIBE: las 6 fases de respuesta a incidentes
El Instituto Nacional de Ciberseguridad (INCIBE) establece un ciclo completo de gestion de incidentes en 6 fases. Este es el marco de referencia en Espana y el que aplico en mis peritajes forenses (INCIBE, Primeros pasos respuesta incidentes; INCIBE, Guia gestion crisis).
| Fase | Objetivo | Tiempo orientativo |
|---|---|---|
| 1. Preparacion | Tener plan antes del incidente | Continuo (pre-incidente) |
| 2. Identificacion | Confirmar que hay un incidente real | 0-30 minutos |
| 3. Contencion | Detener la propagacion del ataque | 30 min - 3 horas |
| 4. Mitigacion | Eliminar la amenaza de los sistemas | 3-48 horas |
| 5. Recuperacion | Restaurar operaciones normales | 1-30 dias |
| 6. Post-incidente | Lecciones aprendidas, informe final | 30-90 dias |
Las fases 2 y 3 (identificacion y contencion) son las que ocurren en las primeras horas y donde se cometen los errores que despues no tienen solucion. Vamos a desglosarlas.
Fase 1: evaluacion inicial (los primeros 30 minutos)
La primera reaccion ante un posible ciberataque suele ser panico, y el panico genera errores irreversibles. He visto administradores de sistemas reformatear servidores comprometidos, directivos ordenar apagar todo y responsables de IT borrar logs creyendo que “limpiaban” el sistema. Todas esas acciones destruyen evidencia forense.
Revisar alertas de los sistemas de deteccion: consultar IDS/IPS, firewall, EDR, SIEM y cualquier sistema de monitorizacion. Anotar timestamps exactos (con zona horaria), IPs origen/destino, puertos y protocolos involucrados
Identificar el tipo y alcance del incidente: determinar si es ransomware, exfiltracion de datos, acceso no autorizado, denegacion de servicio, compromiso de credenciales u otro tipo. Cada tipo requiere una contencion diferente
Evaluar la severidad: usar una escala predefinida (critico, alto, medio, bajo) basada en el impacto operativo, los datos afectados y el numero de sistemas comprometidos. Un ransomware que cifra el servidor de produccion es critico; un phishing aislado sin credenciales comprometidas es bajo
Documentar todo desde el minuto cero: abrir un registro de incidentes con fecha, hora exacta, acciones tomadas, personas involucradas y decisiones adoptadas. Este registro sera fundamental para el informe pericial, la notificacion a la AEPD y la reclamacion al ciberseguro
No apagar los equipos afectados: la memoria RAM contiene procesos del malware, claves de cifrado en uso y conexiones activas. Al apagar, toda esa informacion se pierde para siempre. Desconectar de la red, si. Apagar, no
Error critico mas frecuente
El error que mas veo en mis peritajes: apagar o reiniciar los equipos comprometidos. Cada vez que un equipo se apaga, se pierden las claves de cifrado en RAM, los procesos maliciosos activos, las conexiones de red y los logs volatiles. En un caso de ransomware, la clave de descifrado puede estar en memoria. En un caso de exfiltracion, el proceso que esta enviando datos sigue activo y puede identificarse. Apagar es destruir la escena del crimen.
Fase 2: comunicacion y coordinacion
Una vez confirmado el incidente, la comunicacion debe ser inmediata, controlada y limitada.
Reglas de comunicacion durante un incidente
| Principio | Que hacer | Que NO hacer |
|---|---|---|
| Limitar el conocimiento | Informar solo al equipo de crisis designado | Enviar email masivo a toda la empresa |
| Designar un coordinador | Una sola persona centraliza las comunicaciones | Que cada departamento actue por su cuenta |
| Canal seguro | Usar telefono o app cifrada (el email corporativo puede estar comprometido) | Comunicar por el canal habitual sin verificar que no esta comprometido |
| Registro escrito | Documentar cada decision, llamada y accion | Tomar decisiones verbales sin registro |
| Contacto con autoridades | Notificar a INCIBE-CERT, AEPD y Fuerzas de Seguridad segun aplique | Esperar a “tenerlo todo claro” antes de contactar |
A quien contactar y cuando
INCIBE-CERT (017 o [email protected]): inmediatamente si es empresa privada. Proporcionan asistencia tecnica gratuita y coordinan con otros CERT europeos si el ataque tiene origen transfronterizo
CCN-CERT (Centro Criptologico Nacional): obligatorio si es sector publico o infraestructura critica. El Esquema Nacional de Seguridad (ENS) exige notificar incidentes de nivel alto y critico (CCN-CERT, CCN-STIC 817)
AEPD (Agencia Espanola de Proteccion de Datos): en un maximo de 72 horas si hay brecha de datos personales con riesgo para los afectados (art. 33 RGPD). Si el riesgo es alto, tambien debe notificarse directamente a los afectados (AEPD, Notificacion brechas)
Fuerzas y Cuerpos de Seguridad del Estado: denuncia en comisaria o via Policia Nacional (Brigada de Investigacion Tecnologica) o Guardia Civil (Grupo de Delitos Telematicos). La denuncia es esencial para la investigacion criminal y para activar la cobertura de muchos ciberseguros
Perito informatico forense: cuanto antes. La preservacion de evidencia digital requiere metodologia ISO 27037 y cadena de custodia desde el primer momento. Un peritaje tardio pierde evidencia volatil critica
Plazos legales de notificacion: la cuenta atras empieza al detectar
Los plazos son estrictos y las sanciones por incumplimiento, severas. Esta tabla resume las obligaciones legales que aplican en Espana:
Obligaciones legales de notificacion
El incumplimiento de los plazos de notificacion no solo acarrea sanciones economicas millonarias. Tambien genera presuncion de negligencia en un posible procedimiento judicial y puede invalidar la cobertura del ciberseguro. Los plazos se cuentan desde la deteccion del incidente, no desde su confirmacion completa.
| Normativa | Plazo | A quien | Condicion | Sancion maxima |
|---|---|---|---|---|
| RGPD Art. 33 | 72 horas | AEPD | Brecha datos personales con riesgo | Hasta 20 millones de euros o 4% facturacion global (AEPD, 2024) |
| RGPD Art. 34 | Sin dilacion indebida | Afectados directamente | Riesgo alto para derechos y libertades | Hasta 20 millones de euros o 4% facturacion global (AEPD, Guia brechas) |
| NIS2 - Alerta inicial | 24 horas | CSIRT de referencia | Incidente significativo (entidades esenciales/importantes) | Hasta 10 millones de euros o 2% facturacion global |
| NIS2 - Notificacion formal | 72 horas | CSIRT de referencia | Mismo incidente, con evaluacion inicial | Misma sancion |
| NIS2 - Informe final | 30 dias | CSIRT de referencia | Informe completo con causa raiz y medidas | Misma sancion |
| ENS (sector publico) | Inmediato | CCN-CERT | Incidentes nivel alto/critico | Responsabilidad administrativa (CCN-CERT, CCN-STIC 817) |
Nota sobre NIS2 en Espana: la Directiva NIS2 (Directiva UE 2022/2555) debio transponerse antes de octubre de 2024. El Consejo de Ministros aprobo el Anteproyecto de Ley de Ciberseguridad el 14 de enero de 2025, pero a febrero de 2026 sigue en tramitacion parlamentaria. Aun asi, las empresas que operan en la UE deben prepararse ya para cumplir sus requisitos.
Fase 3: contencion del ataque (primeras 3 horas)
La contencion tiene un objetivo claro: detener la propagacion sin destruir evidencia. Es el equilibrio mas dificil de mantener bajo presion.
Desconectar de la red los equipos afectados: retirar el cable de red o desactivar el WiFi. No apagar. Esto impide que el atacante se mueva lateralmente a otros sistemas, pero preserva la memoria RAM y los procesos activos
Segmentar la red: si se dispone de VLANs o firewalls internos, aislar los segmentos afectados del resto de la infraestructura. El objetivo es contener el ataque en el perimetro mas pequeno posible
Identificar el vector de ataque: determinar como entro el atacante. Las vias mas frecuentes son: credenciales robadas (phishing, brute force, infostealer), vulnerabilidad explotada (RDP expuesto, VPN sin parchear), proveedor comprometido (supply chain) o insider malicioso. El vector determina la contencion especifica
Clonar discos afectados antes de cualquier intervencion: realizar copias forenses bit a bit (imagen forense) de los discos de los equipos comprometidos. Siempre trabajar sobre la copia, nunca sobre el original. Verificar integridad con hash SHA-256. Esta imagen es la base de cualquier informe pericial posterior
Capturar datos volatiles: volcado de memoria RAM, listado de procesos activos, conexiones de red establecidas, sesiones de usuario abiertas, tareas programadas y registros de eventos recientes. Todo esto desaparece al apagar o reiniciar
Revocar credenciales comprometidas: resetear contrasenas de todas las cuentas potencialmente afectadas, empezando por las cuentas con privilegios de administracion. Revocar tokens de sesion activos. Activar MFA donde no estuviera habilitado
Preservar logs: copiar y proteger los logs de firewall, servidor, aplicacion, Active Directory, VPN y cualquier sistema relevante. Los logs son la cronologia del ataque y seran imprescindibles para el analisis forense y para la notificacion a la AEPD
Checklist primeras 3 horas: 15 acciones imprescindibles
Esta es la lista que entrego a mis clientes en formato lamina imprimible. Cada accion tiene un responsable y un tiempo maximo de ejecucion:
| # | Accion | Responsable | Tiempo max | Prioridad |
|---|---|---|---|---|
| 1 | Confirmar el incidente (no falso positivo) | IT / SOC | 15 min | Critica |
| 2 | Activar el plan de respuesta a incidentes | Coordinador de crisis | 15 min | Critica |
| 3 | Abrir registro cronologico del incidente | Coordinador de crisis | 5 min | Critica |
| 4 | Desconectar equipos afectados de la red (NO apagar) | IT | 10 min | Critica |
| 5 | Capturar memoria RAM de equipos comprometidos | Perito forense / IT | 30 min | Critica |
| 6 | Clonar discos duros (imagen forense SHA-256) | Perito forense | 1-2 h | Critica |
| 7 | Preservar logs (firewall, AD, VPN, servidor) | IT | 30 min | Alta |
| 8 | Identificar vector de entrada | IT / Perito forense | 1-2 h | Alta |
| 9 | Segmentar red y aislar segmentos afectados | IT / Red | 30 min | Alta |
| 10 | Revocar credenciales comprometidas + activar MFA | IT | 30 min | Alta |
| 11 | Notificar a la direccion y al asesor juridico | Coordinador de crisis | 30 min | Alta |
| 12 | Contactar con INCIBE-CERT (017) | Coordinador de crisis | 1 h | Alta |
| 13 | Valorar si hay brecha de datos personales (RGPD) | DPO / Juridico | 2 h | Alta |
| 14 | Iniciar documentacion para notificacion AEPD | DPO / Juridico | 3 h | Media |
| 15 | Preparar comunicacion interna controlada | Comunicacion | 3 h | Media |
Casos reales en Espana: que pasa cuando no hay protocolo
Los casos recientes de respuesta tardia en empresas espanolas demuestran el coste de no tener un protocolo establecido.
Telefonica (enero 2025): 5 dias de silencio
En enero de 2025, un grupo de atacantes accedio a sistemas internos de Telefonica mediante un infostealer combinado con phishing dirigido. Se exfiltraron 2,3 GB de datos, incluyendo documentos internos y tickets del sistema Jira. Lo mas grave no fue el ataque en si, sino la respuesta: transcurrieron 5 dias entre la deteccion del acceso y la comunicacion publica del incidente (Channel Partner, 2025). Esos 5 dias sin contencion publica permitieron que los datos circularan libremente por foros de cibercrimen.
Endesa (abril 2025): 72 horas sin detectar la intrusion
El grupo ruso “AgencyInt” accedio a sistemas de Endesa y exfiltro datos de clientes durante un periodo estimado de 72 horas antes de que la intrusion fuera detectada. La brecha afecto a informacion personal de clientes y fue comunicada con retraso respecto a los plazos que establecera la NIS2 para operadores esenciales (Channel Partner, 2025).
| Caso | Problema | Consecuencia | Que debio hacerse |
|---|---|---|---|
| Telefonica | 5 dias entre deteccion y comunicacion | Datos en foros de cibercrimen, dano reputacional | Contencion inmediata + notificacion en 72h |
| Endesa | 72h de intrusion no detectada | Exfiltracion datos clientes, riesgo NIS2 | Monitorizacion SOC 24/7 + segmentacion red |
En ambos casos, un plan de respuesta a incidentes previamente definido y ensayado habria reducido drasticamente el impacto.
El papel del perito informatico forense en las primeras horas
Un perito informatico forense aporta tres capacidades que el equipo de IT interno normalmente no tiene:
1. Preservacion de evidencia con validez judicial
La diferencia entre “guardar los logs” y “preservar evidencia con cadena de custodia ISO 27037” es la diferencia entre tener pruebas admisibles en juicio o no tenerlas. El perito documenta quien accedio a la evidencia, cuando, que herramientas utilizo y verifica la integridad con hashes criptograficos SHA-256. Esta cadena de custodia es lo que permite usar la evidencia en un procedimiento penal, civil o ante la AEPD (INCIBE, Guia Nacional Notificacion Ciberincidentes).
2. Analisis forense para determinar alcance real
El equipo de IT suele centrarse en restaurar el servicio. El perito se centra en responder: que paso exactamente, como entraron, que datos se vieron afectados, durante cuanto tiempo tuvieron acceso y si el ataque sigue activo. Este analisis forense digital es el que determina si la brecha afecta a datos personales (y por tanto obliga a notificar a la AEPD) y cual fue la causa raiz.
3. Informe pericial para tribunales, aseguradoras y AEPD
El informe pericial informatico es el documento que necesitan tres actores distintos:
- Tribunales: si hay denuncia penal o reclamacion civil, el informe pericial acredita los hechos tecnicos ante el juez
- Ciberseguros: la mayoria de polizas exigen un informe pericial independiente para activar la cobertura. Sin el, el asegurador puede denegar la indemnizacion
- AEPD: la notificacion de brecha del art. 33 RGPD requiere describir la naturaleza de la brecha, las categorias de datos afectados, las consecuencias probables y las medidas adoptadas. El informe pericial proporciona la base tecnica para todo ello
Si tu empresa trabaja con un despacho de abogados especializado en tecnologia, el perito y el abogado deben coordinarse desde las primeras horas para garantizar que la estrategia tecnica y la estrategia legal esten alineadas.
El coste de no actuar a tiempo
Las cifras hablan por si solas:
| Indicador | Dato | Fuente |
|---|---|---|
| Coste medio por ataque (PYME) | 2.500-60.000 euros | El Derecho, 2025 |
| Coste medio por ataque (gran empresa) | 5,5 millones euros | El Derecho, 2025 |
| Tiempo medio deteccion + contencion | 241 dias | IBM Cost of Data Breach 2025 |
| Empresas espanolas atacadas en 2024 | 84% | Channel Partner, 2025 |
| Ataques diarios en Espana | Mas de 45.000 | El Derecho, 2025 |
| Aumento ransomware Espana 2025 | +120% | El Derecho, 2025 |
| Sancion maxima RGPD | 20 millones euros o 4% facturacion | AEPD |
La diferencia entre una respuesta en las primeras 3 horas y una respuesta tardia puede multiplicar el coste del incidente por 10. No solo por el dano directo, sino por las sanciones regulatorias, la perdida de cobertura del ciberseguro, el dano reputacional y la potencial responsabilidad penal de los administradores.
Lo que debes tener preparado antes del ataque
El mejor momento para preparar la respuesta a un ciberataque es antes de que ocurra. Estas son las cinco cosas que toda empresa deberia tener listas:
Plan de respuesta a incidentes documentado y ensayado: no un documento teorico de 200 paginas que nadie ha leido. Un protocolo practico con roles, contactos, procedimientos y checklist. Ensayado al menos una vez al ano con simulacros
Contacto de perito forense preestablecido: cuando ocurre el incidente no es momento de buscar perito en Google. Tener un acuerdo previo con un perito informatico forense que conozca tu infraestructura reduce el tiempo de respuesta critico. En mi caso, los clientes con acuerdo de respuesta reciben atencion en menos de 4 horas
Copias de seguridad 3-2-1 verificadas: 3 copias de los datos, en 2 soportes diferentes, con 1 copia offline o inmutable. Y verificadas periodicamente. De nada sirve tener backups que no se han probado restaurar
Monitorizacion activa: EDR en endpoints, SIEM centralizado, alertas configuradas. Si nadie vigila, nadie detecta. El dwell time medio de 11 dias se reduce drasticamente con monitorizacion 24/7
Formacion del personal: el 79% de los ataques son sin malware, basados en ingenieria social y robo de credenciales. Simulacros de phishing trimestrales y formacion basica en ciberseguridad para todos los empleados
Preguntas frecuentes
Cual es el primer paso al detectar un ciberataque en la empresa?
Confirmar que el incidente es real (descartar falso positivo), activar el plan de respuesta a incidentes y desconectar de la red los equipos afectados sin apagarlos. La memoria RAM contiene evidencia volatil critica que se pierde al apagar. Simultaneamente, abrir un registro cronologico y contactar al coordinador de crisis designado.
Estoy obligado a notificar a la AEPD si sufro un ciberataque?
Si el ciberataque afecta a datos personales y supone un riesgo para los derechos y libertades de las personas, si. El art. 33 del RGPD obliga a notificar a la AEPD en un maximo de 72 horas desde la deteccion. Si el riesgo es alto, el art. 34 exige ademas notificar directamente a los afectados. El incumplimiento puede acarrear sanciones de hasta 20 millones de euros (AEPD, Guia brechas seguridad).
Cuanto cuesta la respuesta forense a un ciberataque?
Depende del alcance. Una respuesta inicial con preservacion de evidencia, analisis forense basico e informe pericial para una PYME con 5-10 equipos afectados puede costar entre 2.000 y 6.000 euros. Para ataques de ransomware o exfiltraciones masivas en grandes empresas, el coste de la investigacion forense completa oscila entre 10.000 y 50.000 euros. En comparacion con el coste medio del incidente (hasta 5,5 millones de euros para grandes empresas), la inversion en respuesta forense es minima.
Que diferencia hay entre el equipo de IT y un perito informatico forense?
El equipo de IT se centra en restaurar el servicio lo antes posible. El perito informatico forense se centra en preservar la evidencia con validez judicial, determinar el alcance exacto del compromiso y elaborar un informe pericial que sirva ante tribunales, AEPD y aseguradoras. Ambos roles son complementarios y deben trabajar coordinados desde el primer minuto. El riesgo de actuar solo con IT es destruir evidencia al priorizar la restauracion.
Que pasa si no tengo plan de respuesta a incidentes?
Sin plan, la respuesta sera reactiva, descoordinada y lenta. Las decisiones se tomaran bajo presion sin criterio predefinido, lo mas probable es que se destruya evidencia forense, se incumplan los plazos de notificacion y se multiplique el coste del incidente. El INCIBE recomienda que toda empresa tenga un plan documentado y ensayado, independientemente de su tamano.
La NIS2 me obliga a algo si soy una PYME?
La NIS2 aplica a entidades esenciales e importantes en sectores criticos (energia, transporte, sanidad, banca, infraestructuras digitales, entre otros). Las PYMEs generalmente quedan excluidas salvo que operen en estos sectores o sean proveedores criticos de entidades obligadas. Sin embargo, los requisitos del RGPD (notificacion 72h, medidas de seguridad adecuadas) aplican a todas las empresas que traten datos personales, independientemente de su tamano.
¿Tu empresa ha sufrido un ciberataque?
Respuesta forense en menos de 4 horas. Preservacion de evidencia con cadena de custodia ISO 27037, analisis forense, informe pericial para tribunales, AEPD y ciberseguros. Cobertura nacional.
Solicitar respuesta urgenteFuentes y referencias
- CrowdStrike. “2025 Global Threat Report”. 2025. crowdstrike.com
- CrowdStrike. “2025 Global Threat Report - Key Findings: 79% malware-free, vishing +442%”. 2025. crowdstrike.com/blog
- Google Cloud. “M-Trends 2025 - Mandiant Special Report”. 2025. cloud.google.com
- IBM. “Cost of a Data Breach Report 2025”. 2025. ibm.com
- INCIBE. “Primeros pasos para la gestion de incidentes de ciberseguridad”. incibe.es
- INCIBE. “Guia de gestion de crisis de ciberseguridad”. incibe.es
- INCIBE. “Guia Nacional de Notificacion y Gestion de Ciberincidentes”. incibe.es
- AEPD. “Notificacion de brechas de datos personales a la autoridad de control (Art. 33 RGPD)”. aepd.es
- AEPD. “Guia para la gestion y notificacion de brechas de seguridad”. aepd.es
- CCN-CERT. “CCN-STIC 817: Gestion de incidentes de seguridad en el ENS”. ccn-cert.cni.es
- El Derecho. “Los ciberataques en Espana aumentan un 35% en 2025”. 2025. elderecho.com
- Channel Partner. “Principales ciberataques en Espana 2024-2025”. 2025. channelpartner.es
Articulo redactado por Jonathan Izquierdo, perito informatico forense. Ex-CTO, 5x AWS Certified, metodologia ISO 27037. Especializado en respuesta a incidentes, preservacion de evidencia digital e informes periciales para tribunales, AEPD y aseguradoras.
Ultima actualizacion: 24 de febrero de 2026.
