- Indica el tiempo de detección. Mide desde el inicio estimado del incidente hasta que el equipo lo identifica.
- Añade el tiempo de contención. Incluye el periodo necesario para limitar el alcance operativo del incidente.
- Introduce el tiempo de restauración. Registra cuánto tarda la recuperación de sistemas, accesos, datos o procesos afectados.
- Incluye la validación. Añade el tiempo requerido para comprobar que el servicio puede volver a operar de forma aceptable.
- Revisa la distribución. Compara las fases para detectar dónde puede tener más impacto una mejora de proceso o automatización.
Estimador del tiempo de recuperación ante amenazas internas
Este estimador calcula el tiempo total de recuperación de una amenaza interna sumando cuatro fases operativas: detección, contención, restauración y validación. El resultado ayuda a convertir un proceso de respuesta en un horizonte temporal común y a localizar qué fase concentra más tiempo. Puede utilizarse para ejercicios de continuidad y respuesta relacionados con accesos indebidos, abuso de privilegios o errores de personas con acceso legítimo. Los tiempos deben representar el mismo escenario y pueden basarse en incidentes previos, simulacros o supuestos de planificación. La suma no pretende describir todos los flujos de respuesta posibles: si algunas fases se ejecutan en paralelo, conviene ajustar los tiempos para reflejar la duración real del camino crítico.
Introduce los datos del escenario
h
h
h
h
Resultado
—
Resultado estimado
Detección + contención—
Restauración + validación—
Fase más larga—
Tiempo total de recuperación = Detección + Contención + Restauración + Validación
Todos los valores se expresan en horas. La fórmula supone fases consecutivas; si existen actividades paralelas, utiliza para cada fase el tiempo efectivo que contribuya al camino crítico del escenario.
Qué significa el resultado
El total muestra la duración estimada del proceso definido. Para compararlo con objetivos de recuperación, utiliza el mismo punto de inicio y el mismo criterio de finalización.
La estimación no distingue por sí sola entre acciones maliciosas, negligentes o accidentales; conviene segmentar los escenarios si sus probabilidades e impactos son muy distintos.
Datos: detección 3 h, contención 5 h, restauración 9 h y validación 4 h.
Cálculo: 3 + 5 + 9 + 4 = 21 horas.
Resultado: el tiempo total estimado de recuperación es de 21 horas. La descomposición permite identificar qué fase aporta más duración y dónde podría concentrarse una mejora.
¿El resultado equivale al RTO?
No necesariamente. El RTO es un objetivo de recuperación definido por la organización, mientras que esta herramienta estima una duración a partir de las fases introducidas. Puedes comparar ambos valores para evaluar la brecha.
¿Qué hago si dos fases ocurren a la vez?
No sumes dos duraciones completas si se solapan. Ajusta los valores para representar el tiempo efectivo del camino crítico o modela escenarios alternativos.
¿Puedo introducir minutos?
Los campos están expresados en horas. Convierte los minutos a fracciones de hora; por ejemplo, 30 minutos equivalen a 0,5 horas.
¿Debo incluir investigación posterior al restablecimiento?
Inclúyela solo si forma parte del criterio con el que defines la recuperación para este análisis. Si es una actividad posterior que no impide reanudar el servicio, puede medirse aparte.
¿Cómo uso el resultado para mejorar la respuesta?
Compara la duración de cada fase y prueba reducciones realistas. Así puedes estimar qué mejora de detección, contención, restauración o validación tendría mayor efecto sobre el tiempo total.