Estás seguro de que el portátil de un directivo está comprometido y esa persona está en plena reunión del consejo. ¿Qué haces?

Ajusta la contención a la evidencia y escala la decisión de negocio en vez de tomarla solo. Si hay señales de actividad manual en curso, robo de credenciales o preparación de datos, aísla ya e informa al mando del incidente, porque una interrupción corta cuesta menos que un compromiso de todo el dominio. Si la actividad parece latente, aplica contención parcial (bloquear el comando y control, revocar sesiones, forzar el cambio de credenciales) y programa el aislamiento completo.

Mi umbral es la evidencia de actividad de un operador en vivo o de acceso a credenciales. Si veo ejecución interactiva de comandos, volcado de credenciales o datos siendo preparados para la salida, aíslo ya y pido perdón después, porque la distancia entre un portátil comprometido y un dominio comprometido puede ser de diez minutos. Aun así no lo desconectaría en silencio. Llamo al mando del incidente, le doy la evidencia en una frase y mi recomendación, y dejo que tome la decisión de negocio mientras yo dejo la acción preparada para que ocurra en el segundo en que diga adelante. Si parece latente, por ejemplo un beacon que lleva horas sin registrarse, tomo el camino intermedio: llevo el dominio de comando y control a un sinkhole, revoco las sesiones y los refresh tokens de la cuenta, bloqueo el hash del proceso y mantengo telemetría completa sobre el host para poder vigilarlo. Y aíslo cuando termine la reunión. Para la conversación en sí paso por la asistencia de dirección con una frase corta y factual, sin jerga, porque un directivo en pánico en una reunión del consejo no ayuda a nadie.