El momento en que alguien advierte el primer archivo cifrado decide más sobre el alcance del daño que las semanas siguientes. No porque en esa hora pueda salvarse todo, sino porque en ella se cometen los errores más costosos. Quien reacciona sin preparación borra rastros, pierde pruebas o infecta por segunda vez el entorno recién saneado al reiniciar los sistemas con demasiada prisa.
Este procedimiento no sustituye a un plan de emergencia: describe lo que sostiene durante la primera hora, cuando el plan todavía no se ha activado.
Aislar, no apagar
Los sistemas afectados deben desconectarse de la red, pero, en la medida de lo posible, no apagarse de forma abrupta. Apagarlos destruye los rastros volátiles de la memoria de trabajo, que pueden resultar decisivos para el análisis posterior (qué acceso, qué software malicioso, desde cuándo). Retire el cable de red, desconecte el wifi y la VPN, aísle los segmentos afectados: eso detiene la propagación sin destruir la base probatoria.
Proteger las copias de seguridad de inmediato
El ransomware moderno busca deliberadamente las copias de seguridad y las borra o cifra también. El primer paso activo se dirige, por tanto, a los backups: si son accesibles, se cortan las conexiones hacia ellos; las copias inmutables y desconectadas de la red (Object-Lock, «immutable») son ahora el bien más valioso de la casa. Lo que aún no ha sido tocado no puede seguir siendo accesible a partir de ahora.
Una persona decide
En una situación crítica hace falta una persona designada que coordine, no una docena actuando en paralelo. Ese rol decide sobre el aislamiento, la comunicación y el orden de la recuperación. Si no se ha fijado de antemano, aclarar «¿quién puede hacer qué aquí?» ya consume un tiempo valioso.
Notificar forma parte del procedimiento
Según el grado de afectación existen obligaciones de notificación: en caso de datos personales, ante la autoridad de protección de datos (por regla general en un plazo de 72 horas); para operadores regulados, además, conforme a NIS-2 (la directiva europea de ciberseguridad) o a requisitos sectoriales. Una denuncia ante el punto central de contacto para la ciberdelincuencia de la policía (ZAC, Zentrale Ansprechstelle Cybercrime) preserva los rastros y suele ser condición para las prestaciones del seguro. Iniciar estos pasos en paralelo, en lugar de dejarlos «para después de limpiar», evita incumplir los plazos.
Qué conviene evitar en la primera hora
- No pagar bajo presión de tiempo. La cuestión del rescate es una decisión para más adelante, con asesoramiento jurídico y con las autoridades, no para la primera hora.
- No restaurar de forma precipitada. Una restauración sobre un entorno todavía comprometido cifra los datos una segunda vez. Primero comprenda la causa, después restaure.
- No limpiar los rastros. Los registros, los sistemas afectados y los soportes de datos permanecen intactos hasta que el análisis los libere.
Por qué esto debe estar preparado de antemano
Todo esto solo puede ejecutarse en la primera hora si se ha puesto por escrito y se ha ensayado al menos una vez: quién decide, dónde están las copias de seguridad desconectadas, qué sistemas vuelven y en qué orden, a quién se informa y cuándo. Como casa de sistemas de propiedad familiar en Solingen, mantenemos actualizada esta prevención de emergencias para nuestros clientes, con copias de seguridad inmutables y georredundantes y recuperaciones probadas (práctica con Veeam), vigilancia 24/7 a través de nuestro NOC (centro de operaciones de red) y un procedimiento ensayado, con una tarifa plana mensual previsible en el marco de nuestra Business Continuity y nuestros Managed Services. La primera hora no es un buen momento para empezar a pensar en el procedimiento.