Este estudio presenta un protocolo de preservación de rastros y evidencias digitales ante ciberincidentes por medio de diferentes niveles de acceso de usuarios, con base en la informática forense. La aplicación de nuevas herramientas y sus funciones permite conservar información que puede esclarecer los tipos de ataques, la dinámica del delito, su materialidad y su autoría. Este es un protocolo que determina la primera respuesta digital, clasificada por niveles de urgencia, para apoyar la toma de decisiones manteniendo la cadena de custodia según el riesgo de volatilidad de los datos. Se concluye que este protocolo apoya el esclarecimiento de un ciberincidente y permite la correcta conservación de los datos, de manera que cada organización atacada pueda decidir qué datos debe priorizar en la identificación y la protección de la información.