Una crisis de ransomware no es solo un problema de TI
Puede afectar operaciones, datos personales, proveedores, clientes, continuidad, reputación y obligaciones contractuales. Por eso la respuesta debe coordinar áreas técnicas y de negocio.
1. Contener con criterio
Aislar sistemas comprometidos puede ser necesario, pero apagar equipos de forma indiscriminada puede destruir información útil para entender el incidente. Sigue el plan de respuesta y documenta las decisiones.
2. Confirmar qué está afectado
Hay que distinguir entre:
- sistemas cifrados;
- credenciales comprometidas;
- posibles movimientos laterales;
- datos exfiltrados;
- copias de seguridad afectadas;
- servicios críticos interrumpidos.
3. Preservar evidencia
Registros, imágenes de sistemas, alertas, correos y artefactos pueden ser esenciales para investigar la entrada inicial y el alcance.
4. Activar el equipo de crisis
Seguridad, TI, dirección, legal, privacidad, comunicación, continuidad y proveedores especializados pueden necesitar intervenir según el contexto.
5. Separar restauración de erradicación
Recuperar un servidor no significa que el atacante haya sido expulsado. Antes de restaurar masivamente, hay que entender persistencia, credenciales y vulnerabilidades explotadas.
6. La decisión sobre un rescate no es automática
Pagar no garantiza recuperación ni impide la publicación de información. También puede implicar riesgos legales, operativos y reputacionales. Cualquier decisión debe ser evaluada por la organización con asesoramiento especializado.
La velocidad importa, pero una respuesta rápida sin coordinación puede aumentar el daño.
Prepararse antes
Inventario, copias probadas, contactos de emergencia, roles, ejercicios y procedimientos reducen el tiempo perdido cuando cada minuto cuenta.
