Seguridad digital para un equipo de campaña: cuentas, accesos, dispositivos, respaldos y protocolo de incidente

Seguridad digital para un equipo de campaña chico: quién tiene cada acceso, cómo se cierra y qué se hace la primera hora

Son las diez y cuarenta de un martes y la cuenta de redes de la campaña no abre. Marta, que dejó el equipo hace dos semanas, era «quien tenía la contraseña». Nadie sabe si además de la contraseña tenía el número con el que ese servicio devuelve el acceso. El candidato anunció esta tarde que mañana se publica la convocatoria, y la hoja de registros —tres mil ochocientas filas, cifra inventada para el ejercicio— vive en el correo personal de otra compañera, con un enlace que se repartió en cuatro chats.

Nadie del equipo está siendo atacado por un criminal sofisticado. El problema es otro, y es muchísimo más común: hoy, en este momento, nadie puede responder cuántas personas tenían acceso a qué. Sin esa lista no se puede cerrar una puerta, no se puede decir quién publicó algo, no se puede recuperar una cuenta y no se puede explicar nada después.

Esta lección no enseña a atacar ni a defenderse de un ataque dirigido de verdad: enseña hábitos y enseña qué hacer cuando algo ya se rompió. Está escrita para el equipo chico —el del ejemplo es ficticio— donde el celular de la coordinadora es la oficina, la lista de afiliados está en una nube que alguien pagó con su tarjeta personal y la cuenta de redes tiene cinco accesos y ningún dueño.

Salen dos cosas de aquí, y las dos se usan en la reunión: un inventario de accesos con su lista de verificación para revocar a quien se va, y un protocolo de la primera hora ante un incidente. Son el producto de la lección, del mismo modo que la faixa y el registro fueron el producto del taller de coordinación.

Primero las palabras: lo que no se nombra, no se puede revocar

En seguridad digital las palabras confusas no son un detalle de estilo: son las que deciden quién se queda fuera. «Acceso», «permiso», «sesión» y «contraseña» se usan como si fueran la misma cosa, y no lo son: una cuenta puede tener la contraseña cambiada y seguir abierta en cinco teléfonos; un permiso puede ser correcto y estar puesto sobre una cuenta que nadie sabe que existe.

Toma estos doce términos como las piezas del inventario. Cuando en el equipo se diga «ya cerramos ese acceso», tiene que haber una palabra debajo para saber qué se cerró: la credencial, la sesión, la aplicación autorizada, el enlace de la hoja o la cuenta nominal. En las figuras y en los ejercicios aparecen con este mismo sentido.

Cuentas y accesos: una cuenta compartida es un problema de registro

Una cuenta compartida no es una contraseña que varios saben: es una ausencia de registro. Cuando cinco personas entran con el mismo usuario, el servicio ve a una. No hay forma de saber quién publicó, quién borró la fila de un proveedor, quién bajó el presupuesto del anuncio ni quién descargó la lista. Y cuando alguien se va, no se le puede «quitar el acceso», porque el acceso nunca estuvo a su nombre: para sacarlo hay que cambiar la credencial y avisarle a los otros cuatro, y si alguno la tiene guardada en el navegador, la sigue teniendo igual.

El costo de esa ausencia aparece siempre en el peor momento. Si el servicio bloquea la cuenta por un ingreso raro, el aviso va al correo de recuperación: el de quien creó la cuenta y ya no está. Si alguien publica algo que no debió publicarse, el equipo no tiene con qué demostrar ante el candidato, ante el partido o ante una autoridad quién fue, y eso incluye demostrar que no fue. Si la relación con esa persona termina mal, la única prueba con la que se cuenta es un chat de hace ocho meses.

Por eso el orden correcto es inverso al que casi todos siguen. No se empieza por poner una contraseña más rara: se empieza por escribir qué cuentas existen, a nombre de quién están y qué puede hacer cada una. La lista no es un trámite administrativo: sin ella no hay nada que revocar, y todo lo demás —gestor, segundo factor, respaldos— se convierte en una mejora que nadie puede verificar.

Un gestor de contraseñas hace tres cosas que a un equipo de campaña le sirven de verdad y una que casi nadie usa. Las tres: obliga a que cada cuenta tenga su propia credencial larga, de modo que si una se filtra las demás no caen con ella; autocompleta sólo cuando el sitio al que entraste es el mismo que está guardado, lo que vuelve incómodo el correo falso que te lleva a un dominio parecido; y permite compartir una credencial sin dictarla, dejando rastro de a quién se le compartió. La que casi nadie usa es la que más vale: poder ver, en una pantalla, cuántas personas tienen cada credencial. Eso es exactamente lo que una cuenta compartida no deja ver.

Lo que no resuelve importa igual, porque si no lo sabes vas a creer que ya estás cubierto. El gestor no decide quién es el dueño nominal de una cuenta; no cierra las sesiones que ya están abiertas; no sirve de nada contra una aprobación que tú mismo das en el teléfono; no protege la hoja que alguien exportó a su carpeta de descargas; no evita que el proveedor de la cuenta tenga un problema; y no resuelve el día en que la persona con la contraseña maestra desaparece o se va del equipo. Si el equipo comparte una bóveda, la bóveda pasa a ser la nueva cuenta compartida: necesita dueño, suplente y códigos de respaldo impresos fuera del teléfono.

El segundo factor existe porque la contraseña sola se adivina, se reutiliza o se la sacan con una página que la pide. Pero el factor que elige casi todo equipo chico es el peor disponible: el código por mensaje de texto. Tres razones concretas. Primera: en la práctica, la línea telefónica es una llave maestra —el mismo número suele ser el canal de recuperación de cuatro o cinco cuentas del equipo—, así que quien controla la línea controla varias puertas a la vez. Segunda: la tarjeta se repone en un mostrador, tras preguntas que se contestan con datos que ya circulan (nombre completo, domicilio, últimos contactos), y una reposición mal controlada entrega los mensajes de otra persona a la tuya. Tercera: hay engaños que no te roban la contraseña para guardarla, sino que la reenvían al sitio real mientras tú la escribes y con eso construyen una sesión; en ese esquema el código por SMS llega a tiempo y el atacante lo recibe a tiempo. Lo que se roba ahí no es la contraseña: es la sesión.

Hay tres familias de segundo factor y se comportan distinto. El código generado por una aplicación en el teléfono no depende de tu número y es más cómodo que el SMS, pero sigue siendo robable si tú entras a la página falsa y sigues el flujo. La aprobación en la aplicación («¿eres tú? toca aquí») es la que la gente aprueba por fastidio, sin leer, sobre todo a horas absurdas: es un factor que se desgasta. La llave física o la llave del sistema, atada al sitio al que se entra, es la que no sirve en una página falsa, y por eso es la que aguanta un engaño bien hecho. Para las cuentas que de verdad duelen —el correo que es dueño de toda la recuperación y la cuenta de redes—, conviene un factor que no dependa de la línea. Para el resto, cualquier segundo factor sirve más que ninguno.

Y una cosa no se puede olvidar, porque es la que decide si mañana puedes entrar: los códigos de respaldo. Se generan junto con el segundo factor, son una lista de claves de un solo uso, y si viven en el mismo teléfono que el factor, no son respaldo. Van impresos, en un sobre, con un dueño y un lugar conocido por dirección, y se anota en el inventario dónde están. Cuando el teléfono se pierde, se rompe o se queda en una mesa, esa lista de papel es la puerta.

Revocar bien no es cambiar una contraseña: es cerrar todas las formas en que alguien puede estar dentro. Hay cinco, y las cinco son independientes. La credencial, que sirve para el próximo ingreso. Las sesiones abiertas, que no vuelven a pedir nada. Las aplicaciones y sitios autorizados con el botón de «continuar con», que entraron una vez y siguen entrando. El canal de recuperación, que permite reponer todo lo anterior sin saber la contraseña. Y las reglas automáticas del correo, donde alguien pudo dejar un reenvío discreto a otra bandeja: es la trampa menos pensada y la más rentable para quien se va con enojo.

La lista de verificación de abajo está en este orden por una razón: el paso 1 es registrar antes de tocar. Si primero cambias cosas y después acuerdas, no tendrás con qué reconstruir qué estaba abierto, y eso vale tanto hacia adentro del equipo como hacia afuera. El paso 2 separa los dos mundos: si el servicio permite nombrar personas, sacas a esa persona sin molestar a nadie; si no lo permite, acabas de descubrir que tienes una cuenta compartida y ese renglón vuelve al inventario con una tarea. Y el último paso es una prueba, no un sentimiento: alguien más del equipo entra, publica y cierra sesión sin que la persona que salió intervenga. Si eso no ocurre, el acceso no está revocado: está apenas incomodado.

Herramienta 1: inventario de accesos de la campaña

Instrucciones de la hoja: un renglón por cuenta, hoja, panel, grupo o dispositivo compartido — no por persona. El dueño nominal es una sola persona, con suplente nombrado en la misma fila, y conviene que no sea la línea telefónica personal de nadie. En «acceso» se escribe nivel, no confianza: ver, editar, compartir o administrar. En «credencial» se escribe dónde vive: gestor, sobre o memoria; si dice memoria, el renglón está en rojo. La columna de datos personales obliga a un juicio: qué contiene la hoja, cuántas filas y para qué sirve; si no responde a las tres, es candidata a dejar de existir. Se revisa completa cada dos semanas y el mismo día en que alguien sale. La hoja sirve igual para una campaña de seis semanas que para los primeros cien días de un cargo.

Herramienta 2: lista de verificación de revocación, con registro

Esta hoja se usa una sola vez por persona que sale, y se llena dos veces: la columna de al lado del paso es para la evidencia, no para una palomita. Sin evidencia, el paso no está hecho. Las filas cuarta a séptima son las que casi todo equipo omite y las que más cuestan después: sesiones abiertas, aplicaciones autorizadas, canal de recuperación y reglas de correo. La última fila es la prueba de fuego: alguien más del equipo entra, publica y cierra sesión sin la persona que salió, y eso se anota con hora. Si la persona salió sin dejar constancia escrita de lo que tenía, se levanta el caso igual: no para pelear, sino para poder decir después qué se revisó y cuándo.

Permisos y superficie: quién ve la lista, quién publica y qué queda en el teléfono

Los permisos son la otra mitad del problema, y la que se descuida: un equipo puede tener credenciales impecables y aun así entregar la lista de afiliados a treinta personas con buena voluntad. Diseñar permisos significa decidir tres cosas por hoja: quién puede verla, quién puede modificarla y quién puede dar acceso a otras. Son preguntas distintas, y la tercera es la que nadie se hace: quien puede compartir puede crear accesos que no pasan por ti, y desde ese momento tu inventario es una ficción.

El enlace de «cualquiera con el enlace» merece un renglón propio, porque no es un permiso: es una amnesia. No caduca, no nombra, no se puede retirar de los teléfonos donde ya se pegó, y viaja con una facilidad que el correo no tiene. La forma práctica de parar eso no es «pedir que no lo reenvíen»: es compartir por nombre, con nivel de lectura, y retirar la capacidad de compartir de casi todo el mundo.

Y está el exportador silencioso: cada descarga es una copia que ya se fue. Una hoja con permisos perfectos y doce descargas hechas durante un recorrido tiene doce superficies nuevas. Por eso la minimización no es una virtud estética sino una decisión operativa: si la fila de la lista que una voluntaria necesita es nombre, sección y teléfono de contacto, entonces no hace falta que nadie vea la columna del documento de identidad. Lo que no está en la hoja que circula no se puede copiar.

Un equipo político no maneja «archivos»: maneja información de personas identificadas. La ley mexicana llama dato personal a cualquier información concerniente a una persona identificada o identificable, y llama tratamiento a casi cualquier operación con ella: obtenerla, registrarla, conservarla, usarla, comunicarla, almacenarla, tenerla en un teléfono. Esas dos definiciones, en el texto vigente de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (última reforma publicada en el Diario Oficial de la Federación el 14 de noviembre de 2025), alcanzan a la hoja de cálculo que alguien lleva en su celular sin avisar.

De ahí salen tres consecuencias prácticas, sin contar con abogado y sin improvisar un dictamen. Una: el responsable del tratamiento debe establecer y mantener medidas de seguridad administrativas, técnicas y físicas contra el daño, la pérdida, la alteración, la destrucción o el uso y acceso no autorizado, y no puede adoptar medidas menores que las que usa para su propia información (artículo 18 de esa ley). Dos: la confidencialidad de quien interviene en el tratamiento sigue vigente después de que termina su relación con el equipo, lo que obliga a dejar constancia escrita en la salida, no a confiar en la buena memoria (artículo 20). Tres: si una vulneración de seguridad afecta de forma significativa los derechos patrimoniales o morales de una titular, el responsable debe informarle de forma inmediata para que pueda defenderse (artículo 19), y por eso el protocolo de la primera hora de esta lección no es un adorno: es la única forma de cumplir con algo que llega sin avisar.

Dos límites de honestidad en este punto. Que una institución pública tenga obligaciones de transparencia —la Ley General de Transparencia y Acceso a la Información Pública, reexpedida el 20 de marzo de 2025, las enumera en su artículo 65 y en el 64 prohíbe a los sujetos obligados difundir, distribuir o comercializar sin consentimiento expreso los datos personales de sus sistemas de información— no autoriza a un equipo a exponer datos de personas: publicar información y exponer datos no son la misma operación. Y las sanciones administrativas de la ley de datos se imponen sin perjuicio de la responsabilidad civil o penal que resulte (artículo 61), así que «ya lo borré» no borra la obligación que nació antes. Esta lección cita los artículos que verificó en la compilación vigente y no interpreta: para el caso concreto de tu comité o tu cargo, hace falta asesoría profesional y lectura del texto aplicable, incluidos los ordenamientos locales.

Al final de la campaña, en el teléfono de cada persona queda una lista que nadie escribió: la hoja descargada para el recorrido, las fotos de documentos de personas de la sección, en la galería, el chat del grupo con audios donde se mencionan secciones y nombres, las contraseñas que el navegador guardó «para no escribirlas», el segundo factor instalado en una cuenta que es personal, y los contactos con nombres reales que la persona decidió conservar. Ese es el activo y el pasivo de una campaña chica: todo su trabajo vive en dispositivos que no son de la campaña.

Lo que se puede hacer no es borrar el teléfono de otra persona. Es cuatro cosas: no meter ahí lo que no necesitaba estar (minimización), dejar constancia escrita del cierre con fecha, retirar los accesos nominales para que lo que queda no pueda seguir entrando, y planear la salida de cada persona como una tarea con dueño el mismo día. En la práctica, la fila de «qué queda en tu teléfono» se contesta con la lista de verificación: si no sabes qué tiene esa persona, el problema no es la confianza, es que nunca lo registraste.

Dispositivos: el celular personal es la oficina, y eso no se puede arreglar con buena voluntad

Cuatro cosas se rompen con el teléfono y sólo cuatro, dicho con precisión para no vender humo: que alguien lo vea encendido, que alguien lo desbloquee, que alguien lo recupere por la línea, y que alguien restaure su contenido en otro aparato. Cada una tiene un remedio distinto y casi todos son gratuitos.

Verlo encendido: el brillo de la pantalla en un transporte público muestra más de lo que crees, y el candado real no es la funda sino dos ajustes —que la pantalla se apague a los treinta o sesenta segundos y que el teléfono no muestre el contenido de las notificaciones en la pantalla bloqueada—. Un código de acceso o una dirección de una hoja ajena apareciendo en la pantalla de un teléfono en una mesa de café es una filtración sin atacante. Bloquearlo: un número de desbloqueo largo manda sobre la comodidad; la huella y el rostro son conveniencia, no una garantía, porque funcionan sin que tú decidas. Y si el equipo se apaga con el desbloqueo puesto, el cifrado del almacenamiento protege los datos cuando el equipo está apagado, pero no protege absolutamente nada de lo que ya estaba abierto: sesiones, nube, mensajes ni copias.

La línea es la pieza que nadie protege y la que más pesa. La tarjeta SIM es una llave: si tu número es el canal de recuperación del correo que manda todo, quien saca la tarjeta de tu teléfono o consigue su reposición está más cerca de tus cuentas que quien adivina una contraseña. Poner un código PIN a la SIM es un ajuste de dos minutos y convierte ese escenario en un problema menor.

Recuperarlo o restaurarlo: el respaldo automático del teléfono arrastra fotos, chats y archivos de trabajo a una cuenta que suele ser personal. Antes de decir «está respaldado», hay que revisar qué se está copiando y a dónde: un respaldo de la campaña en la cuenta personal de una voluntaria no es respaldo, es una superficie nueva en un lugar que no controlas. La separación completa entre lo personal y lo de campaña es la respuesta ideal y a veces inalcanzable para un equipo chico; el piso razonable es: una cuenta de campaña para lo de campaña, un correo del equipo como canal de recuperación y nunca el número personal como única llave de algo que no te pertenece.

Engaño dirigido: cómo se ve un intento real contra un equipo político

El engaño que le funciona a una campaña no parece un spam: parece parte del trabajo. Siete formas típicas, todas con un elemento en común: alguien con autoridad pide algo rápido, por un canal que no es el de siempre, y no admite demora. Uno: correo con el membrete del partido o de su administración, avisando que hay que confirmar los datos de acceso «porque el sistema se actualiza». Dos: el banco, con una cuenta presuntamente bloqueada y un enlace para reactivarla. Tres: el proveedor de publicidad, que informa un cambio de datos bancarios para las facturas. Cuatro: el aviso de seguridad de un servicio —«actividad inusual, revisa tu cuenta»— que lleva a una página idéntica. Cinco: un documento que «llegó mal» y pide abrir un enlace o habilitar una vista previa. Seis: un mensaje desde el número del candidato o de una compañera, con una historia personal de emergencia y una transferencia o la lista de contactos de por medio. Siete: el código QR impreso en un material que alguien pegó en la oficina.

Hay dos detalles que conviene decir sin eufemismos. El primero: el objetivo fácil casi nunca es quien dirige. Es la voluntaria con menos experiencia y más disposición, porque dice que sí a todo y no quiere quedar mal con el jefe. El segundo: el engaño que mueve dinero o listas no necesita técnica —necesita urgencia, autoridad y discreción—, y por eso las tres palabras que lo delatan son casi siempre las mismas: «hoy», «no le comentes a nadie» y «necesito que confirmes tus datos».

La regla de oro no consiste en reconocer el engaño, porque hay engaños impecables y hay personas expertas que caen. Consiste en no ejecutar una orden por el canal en que llegó. Si la orden dice «publica esto», se confirma en la reunión o por el número que ya tenías. Si dice «paga a esta cuenta», se confirma hablando al proveedor en un teléfono que no esté escrito en el mensaje. Si dice «entra y confirma», nadie del equipo entra desde el enlace: se escribe la dirección del servicio a mano. Y si la presión es real, la verificación también lo es: quien manda de verdad aguanta dos minutos de teléfono; quien no aguanta, estaba mintiendo.

Y si alguien del equipo ya cayó: se actúa sobre las puertas, no sobre la vergüenza. Primero, contención con los pasos de la lista de verificación —cambiar credencial, cerrar sesiones, retirar aplicaciones autorizadas, revisar reglas de correo— desde un dispositivo que esté limpio. Segundo, evidencia: el mensaje completo con encabezados, la dirección tal como llegó sin volver a abrirla, capturas del estado de la cuenta y la bitácora con hora de quién hizo qué. Tercero, recuperación por la vía institucional del servicio: sus formularios y su soporte oficiales, con documentos que acrediten quién representa al equipo, y con paciencia administrativa, que es la parte que nadie quiere oír. Cuarto, aviso: a la dirección, a quien pueda estar expuesto, y a las titulares de datos si la ley lo exige.

Aquí va una línea que esta lección no cruza y que conviene decir de frente: no se enseña a entrar a una cuenta ajena, a evadir la autenticación de otra persona, a comprar bases de datos de contactos ni a rastrear a quien te hizo daño. No por pudor, sino porque además de ser la vía equivocada, es la vía que te pone del lado que hay que explicar. Circulan «servicios que recuperan cuentas» que son la segunda estafa encima de la primera, y cualquier intento de entrar a un acceso que no te pertenece puede costarte más caro que el incidente original. Si hace falta llegar a una cuenta que alguien más controla, se llega con soporte del proveedor, con denuncia y con expediente: documentado, escalado y por escrito. Y si el asunto escapa del equipo, no se improvisa: se decide con dirección y con asesoría profesional.

Respaldos: la regla 3-2-1 sin jerga, y las cinco condiciones que casi nadie escribe

La regla se dice en cinco segundos y se malinterpreta en cinco minutos: tres copias de la información, en dos tipos de soporte, con una copia fuera del lugar. Suena a tarea de informática, pero en una campaña es una decisión administrativa. ¿Qué pasa si la hoja de registros se corrompe el jueves anterior al cierre? ¿Y si quien la administraba se va y se lleva su cuenta de nube? ¿Y si alguien borra un renglón sin querer y nadie tiene con qué volver atrás? Un respaldo es la respuesta a esas tres preguntas, no una carpeta con copias que nadie sabe cuándo se llenó por última vez.

Las tres copias significan lo siguiente: el original que usas todos los días no cuenta como copia; hace falta un primero y un segundo respaldo además de él. Los dos tipos de soporte existen porque los soportes fallan en bloque: si las dos copias están en el mismo servicio, con la misma cuenta y la misma contraseña, comparten el destino de esa cuenta —y un incidente con la cuenta se convierte en incidente con el respaldo—. Y la copia fuera del lugar, que en la versión honesta para un equipo chico significa sobre todo fuera del alcance ordinario: una credencial que no tiene quien opera todos los días, porque si el problema es un acceso no autorizado o un pedido de rescate, la copia que está a la mano se pierde con el original.

Las cinco condiciones que la vuelven útil: que sea automático, porque un respaldo que depende de acordarse no existe; probado, porque un archivo que nadie restauró jamás es una esperanza y no un respaldo —una vez por trimestre se restaura algo y se compara—; cifrado, con la llave en un lugar distinto; minimizado, de modo que se respalden documentos y no listas de vecinos, porque una copia de una lista mal puesta en un lugar equivocado multiplica el problema; y acotado, con una retención y una fecha de cancelación escritas, porque los datos personales no se conservan «por si acaso» de forma indefinida. Y un detalle práctico que salva campañas: el historial de versiones. Recuperar el martes pasado es infinitamente más común que recuperar todo desde cero.

Lo que respalda una campaña y en qué orden de prioridad: el libro de operaciones y los folios contables, las actas y acuerdos con sus firmas, la documentación de permisos y trámites, el inventario de accesos y proveedores, la correspondencia con autoridades, el material gráfico original y el registro de contingencias. Lo que no se respalda sin una decisión previa: la lista completa de afiliados en un disco que se guarda en la casa de alguien. Ahí hace falta otra cosa, que es tenerla en una cuenta del equipo, con permisos nominales, con recuperación propia y con retención definida.

Protocolo de incidente: los primeros sesenta minutos, y lo que se decide después

Un incidente se atiende en seis movimientos, y el orden es lo único que realmente se puede controlar por adelantado: contención, medición, evidencia, decisión, comunicación y recuperación. La hoja de la primera hora y el ejercicio de abajo los desmenuzan en casillas más pequeñas por una razón: antes de contener hay que registrar el hecho con hora y detener lo que se está publicando, y esos dos movimientos son los que nadie hace. La primera hora no es para averiguar quién tuvo la culpa; es para cerrar la puerta y guardar cómo estaban las cosas. En un equipo chico con seis personas y un celular cada quien, la tentación es hacer lo contrario: ponerse a discutir la culpa, borrar el mensaje «para que nadie lo vea» y publicar un desmentido antes de saber qué pasó.

Contención significa quitar la capacidad de seguir haciendo daño, no recuperar lo perdido: cerrar sesiones, retirar un dispositivo, cambiar una credencial, pausar una publicación, desconectar una aplicación. Medición significa responder con el inventario en la mano qué podía ver, editar, compartir o publicar ese acceso, y qué copias existían de eso. Evidencia significa guardar antes de limpiar: el mensaje completo con encabezados, la dirección tal como llegó, capturas con hora, el registro de accesos del servicio y una bitácora con hechos y horas, sin adjetivos. Decisión: un dueño del incidente con nombre y suplente —la misma regla de una sola persona por línea del taller C01—, con dos cosas que no se delegan en la sala: si se mueve dinero o se corta una publicación ya vista por mucha gente, decide la dirección; si hay que negociar con quien extorsiona, no se decide ni se ejecuta en el grupo de mensajería del equipo.

Comunicación tiene tres frentes, cada uno con su tiempo y su canal: al equipo, por un canal distinto al que está en duda; hacia afuera, sólo por la vía de vocería y con un texto aprobado, porque un mensaje improvisado de un coordinador es hoy una captura de pantalla permanente; y a las personas titulares de los datos, cuando una vulneración de seguridad afecta de forma significativa sus derechos patrimoniales o morales, lo que la ley obliga a informar de forma inmediata. No hay que esperar la reunión del lunes ni el informe completo: hay que decir lo que se sabe, lo que no y qué se está haciendo. Recuperación es volver a operar con permisos nominales y probarlo, y cerrar el folio. Y revisión posterior: dos cambios concretos al inventario, no una reflexión general. Un incidente que no produce dos cambios se va a repetir con otra persona.

Lo honesto del protocolo es que sirve para perder menos, no para no perder. Va a llegar el día en que alguien haga clic, el teléfono se quede en una mesa o la persona que salió siga dentro tres semanas más de lo debido. Un equipo con protocolo cierra la puerta en minutos y puede explicar qué hizo; uno sin protocolo tarda días y no puede explicar nada. Esa diferencia, en una campaña, vale más que cualquier herramienta.

Herramienta 3: protocolo de incidente de la primera hora, en hoja imprimible

Cómo se llena esta hoja: en la reunión, con el equipo presente y antes de que pase nada, se escriben los nombres —dueño del incidente y suplente— y los canales alternos de cada cuenta. Las columnas de evidencia, hora real y avisos se rellenan durante el incidente y a mano, con lo que va pasando; no se reconstruyen de memoria al día siguiente, porque una reconstrucción de memoria no vale como registro. Las seis filas de momento están impresas: no se cambian bajo presión. Lo único que se decide sobre la marcha es el alcance del aviso público, y eso lo decide la dirección. Si alguien mueve una fila sin anotarlo, el protocolo se rompió igual que una faixa: nadie lo va a poder revisar.