La Ventana de 15 Minutos: Por Qué la Velocidad de Contención Supera al Gasto en Prevención

Toda discusión de presupuesto de seguridad termina en la misma pregunta: ¿gastar más en prevención o responder más rápido? Después de observar cientos de incidentes reales, nuestra respuesta es impopular pero consistente: una vez que el atacante está adentro, la única variable que importa es cuántos minutos pasan antes de contenerlo.

La prevención falla en un horario predecible

Los firewalls, la protección de endpoints y la capacitación son necesarios, y aun así fallan en un horizonte suficientemente largo. Los kits de phishing ya evaden el MFA. Los zero-days llegan antes que los parches. Las organizaciones que sobreviven intactas no son las que nunca sufren brechas: son las que tratan la brecha como un cuándo, no como un si.

Qué significa realmente «contenido en 15 minutos»

La contención no es una sensación. Es una cadena de acciones ensayada que se ejecuta igual un domingo a las 02:00 que un martes al mediodía:

• Detección: la correlación de telemetría señala el comportamiento real de intrusión, no el ruido. Mediana: 4 minutos.
• Aislamiento: los hosts e identidades afectados quedan en cuarentena de red bajo autoridad preacordada. Mediana: 3 minutos.
• Expulsión: mecanismos de persistencia eliminados, credenciales rotadas y rutas de acceso cerradas. Mediana: 5 minutos.
• Verificación: los cazadores de amenazas barren en busca de movimiento lateral antes de reabrir cualquier cosa. Mediana: 3 minutos.

La economía de la velocidad

Los datos de la industria sitúan el tiempo medio de permanencia del ransomware en días y la contención media en semanas. Cada hora de acceso sin contener multiplica el radio de impacto: más endpoints cifrados, más datos preparados para la exfiltración, más abogados. Una contención menor a 15 minutos convierte rutinariamente un evento de siete cifras en un inconveniente de cinco.

El prerrequisito no es la herramienta: es la autoridad. Los respondedores necesitan permiso escrito y preaprobado para aislar sistemas de producción sin despertar a nadie. Si su plan de incidentes requiere una reunión, no tiene un plan de incidentes.