Un plan de respuesta frente a ransomware debe definir quién decide, qué se aísla, cómo se preserva evidencia, qué servicios se recuperan primero y cuándo se incorpora apoyo externo especializado, autorizado y disponible. Esperar al incidente para contratar puede retrasar accesos, acuerdos y decisiones. Un retainer o acuerdo previo puede reducir fricción, pero solo aporta valor si su alcance, activación, horas, disponibilidad y entregables están claros.
Qué contratar antes de un incidente de ransomware
La empresa necesita tres capacidades conectadas: preparación, respuesta y recuperación. La preparación incluye plan, contactos, autoridad, inventario, registros, respaldos y ejercicios. La respuesta delimita, contiene, preserva y comunica. La recuperación restaura servicios con criterios de integridad y prioridad. Un proveedor puede apoyar una o varias, pero la organización conserva decisiones de negocio y obligaciones.
Un acuerdo previo de respuesta establece condiciones antes de la crisis. Puede reservar capacidad, definir tiempos de contacto, tarifas, canales y requisitos técnicos. No significa necesariamente disponibilidad inmediata ni horas ilimitadas. “Retainer” se usa de maneras distintas; cada propuesta debe explicar exactamente qué compra la empresa.
| Capacidad | Pregunta | Resultado |
|---|---|---|
| Preparación | ¿Podemos coordinar? | Plan, roles, contactos y ejercicios |
| Respuesta | ¿Qué ocurre y cómo lo contenemos? | Alcance, acciones y decisiones |
| Forense | ¿Qué evidencia sustenta la cronología? | Adquisición, análisis y limitaciones |
| Recuperación | ¿Cómo vuelve el servicio con confianza? | Prioridades, restauración y validación |
| Comunicación | ¿Quién informa a quién? | Mensajes y escalamiento autorizados |
Decisiones de las primeras horas
Las primeras decisiones incluyen activar el equipo, confirmar el evento sin difundir afirmaciones prematuras, aislar sistemas cuando sea seguro, preservar fuentes volátiles y proteger los respaldos. Apagar indiscriminadamente puede destruir memoria y telemetría; mantener un equipo conectado puede permitir propagación. El procedimiento debe permitir que el responsable técnico y forense decidan según el caso.
También se congelan cambios no esenciales, se registra quién hizo qué y se establece un canal alterno. Si el correo corporativo está comprometido, no debe utilizarse para coordinar. La lista de contactos incluye dirección, tecnología, seguridad, legal, privacidad, comunicaciones, aseguradora, proveedores críticos y autoridades cuando corresponda.
El servicio Ransomware RRR de Insylux conecta respuesta, recuperación y resiliencia según la situación real. Ningún proveedor responsable puede prometer recuperación antes de conocer cifrado, respaldos, dependencias, credenciales y alcance.
Por qué preservar evidencia antes de reconstruir
El análisis forense busca reconstruir una cronología y determinar qué sistemas, cuentas y datos pudieron verse afectados. Las fuentes pueden incluir memoria, discos, logs, identidad, endpoint, red, nube, correo y aplicaciones. Su ausencia o retención corta limita la conclusión y debe declararse.
Preservar no significa guardar cada byte sin prioridad. El equipo define fuentes críticas, volatilidad, tiempo y consecuencias operativas. Registra origen, procedimiento, fecha, responsable, integridad y transferencias. Cuando existe posible litigio o reporte, legal debe participar en la estrategia.
El Análisis Forense Digital de Insylux puede ayudar a adquirir y analizar evidencia con trazabilidad. Su resultado diferencia hechos observados, inferencias y limitaciones; no garantiza atribuir un actor ni recuperar información eliminada.
Recuperar un servicio no es restaurar archivos
La recuperación requiere saber qué proceso depende del sistema, qué componentes necesita, qué identidad lo administra y qué datos son confiables. Restaurar un servidor sin cerrar el acceso inicial puede reintroducir al atacante. Restaurar datos sin verificar fecha e integridad puede reactivar corrupción o malware.
El orden proviene del análisis de impacto y las dependencias. Identidad, DNS, virtualización, copias, redes y comunicaciones pueden sostener muchos servicios. El plan debe establecer criterios de entrada, pruebas funcionales, validación de seguridad, autorización y monitoreo reforzado.
Los objetivos RTO y RPO son decisiones empresariales, no tiempos garantizados por escribirlos. Deben comprobarse mediante pruebas. Una copia visible no equivale a restauración exitosa; una restauración técnica no equivale a operación aceptada por el dueño del proceso.
Qué revisar en un retainer de respuesta
Pregunte cómo se activa, quién puede llamar, en qué horario, qué tiempo de acuse se ofrece, qué profesionales participan y desde dónde trabajan. Diferencie acuse, inicio remoto y presencia física. Confirme si las horas no usadas caducan, se convierten en preparación o se trasladan.
| Elemento | Pregunta concreta | Riesgo si falta |
|---|---|---|
| Activación | ¿Quién llama y por qué canal? | Demora o fraude |
| Disponibilidad | ¿Qué tiempo y cobertura se comprometen? | Expectativa falsa |
| Horas | ¿Qué consumen y cómo vencen? | Coste impredecible |
| Alcance | ¿Incluye forense, nube y recuperación? | Vacíos críticos |
| Datos | ¿Dónde se almacenan las evidencias? | Riesgo legal y confidencial |
| Entregables | ¿Qué informe recibirá la empresa? | Decisiones sin trazabilidad |
| Terceros | ¿Puede subcontratar? | Acceso no previsto |
Use las horas antes del incidente
Si el acuerdo permite preparación, utilice horas para revisar el plan, probar contactos, mapear fuentes de registro, verificar accesos de emergencia y ejecutar un tabletop. El proveedor aprende el entorno y la empresa descubre bloqueos antes de una crisis. Esto suele aportar más que dejar todas las horas intactas a la espera de un evento.
Un ejercicio de mesa presenta decisiones progresivas a dirección y equipos. No necesita simular malware en producción. Debe observar autoridad, comunicación, dependencias, evidencia, continuidad y criterios de recuperación. El informe asigna mejoras y fechas; repetir el ejercicio comprueba cierre.
Fuentes y accesos que deben estar preparados
- Inventario de servicios y responsables.
- Registros de identidad, endpoints, red, nube y aplicaciones.
- Retención, hora sincronizada y exportación.
- Accesos de emergencia protegidos y auditados.
- Mapa de respaldos, inmutabilidad y pruebas.
- Contactos de proveedores y soporte.
- Canal alterno de comunicación.
- Plantillas de decisiones y cronología.
Preparar accesos no significa entregar credenciales permanentes al proveedor. Se pueden definir mecanismos temporales, aprobaciones y registros. Las cuentas creadas durante el incidente deben retirarse o rotarse al cierre.
Cómo ejecutar un ejercicio de mesa útil
El ejercicio comienza con un escenario relacionado con procesos reales: una cuenta privilegiada anómala, un sistema inaccesible o una nota de extorsión. El facilitador introduce hechos por etapas y observa decisiones, información faltante y tiempos. No busca que el equipo adivine detalles técnicos, sino que aplique autoridad, comunicación y continuidad.
Participan quienes realmente decidirían: dirección, tecnología, seguridad, legal, privacidad, comunicaciones, operaciones y proveedores críticos. Cada intervención se registra. Cuando alguien dice “llamaríamos al proveedor”, se comprueba si el contacto existe y el contrato cubre la ayuda. Cuando se propone restaurar, se identifica quién autoriza y qué prueba confirma integridad.
El informe separa fortalezas, vacíos y acciones. Cada acción tiene responsable, fecha y evidencia. Un segundo ejercicio debe comprobar los cambios, no repetir exactamente el guion. Si la organización no corrige los bloqueos encontrados, el ejercicio se convierte en una actividad de cumplimiento sin mejora.
Coordinación con seguro y proveedores
La póliza puede exigir notificación, consentimiento o proveedores aprobados antes de incurrir en costes. Esos requisitos deben conocerse antes del incidente. La aseguradora no dirige por sí sola la respuesta técnica y la existencia de cobertura no garantiza reembolso; la empresa debe revisar condiciones con sus asesores.
Proveedores cloud, telecomunicaciones, software y soporte pueden controlar registros o restauraciones. El plan identifica contactos y mecanismos de emergencia. También establece qué evidencia necesita la empresa de ellos y cómo se gestionará la confidencialidad. Confiar en que “el proveedor se encargará” sin contrato ni prueba es una dependencia no gestionada.
Pago, negociación y comunicación
La decisión sobre un rescate involucra dirección, legal, autoridades, aseguradora y especialistas. Puede haber prohibiciones o riesgos de sanciones según destinatario y jurisdicción. Pagar no garantiza recuperación, eliminación de datos ni silencio. Este artículo no recomienda pagar ni negociar.
La comunicación externa debe basarse en hechos confirmados y reconocer incertidumbre. Una nota prematura puede contradecir evidencia posterior. Internamente, se informa lo necesario para sostener operación y prevenir acciones que destruyan evidencia. Los empleados necesitan un canal para reportar síntomas sin convertirse en investigadores.
Los treinta días posteriores
Después de estabilizar, la empresa documenta causa inicial con nivel de certeza, alcance, decisiones, restauraciones, notificaciones, costes y controles pendientes. Las acciones se priorizan por posibilidad de recurrencia y consecuencia. Cambiar contraseñas sin corregir la ruta de acceso puede ser insuficiente.
Se revisan identidades, exposición remota, segmentación, vulnerabilidades, respaldos, monitoreo, proveedores y formación. También se actualiza el plan con lo aprendido. El cierre ejecutivo distingue sistemas recuperados, riesgos aceptados, evidencia faltante y compromisos aún abiertos.
Consideraciones para Colombia y México
Las obligaciones de notificación dependen de sector, datos, contratos y autoridad. No existe un único plazo aplicable a cualquier empresa de Colombia o México. La organización debe activar asesoría jurídica local y conservar una cronología de cuándo conoció cada hecho.
Insylux Cybersecurity presta cobertura regional desde Medellín. Un acuerdo debe expresar si la atención será remota, si puede requerir desplazamiento y cómo se manejarán evidencias entre jurisdicciones. La cobertura no equivale a una oficina física en México.
Preguntas frecuentes
¿Un retainer garantiza atención inmediata?
Solo si el contrato define tiempos y condiciones. El nombre del servicio no crea por sí solo un SLA.
¿Debemos apagar los equipos cifrados?
Depende del estado, propagación y evidencia. El plan debe permitir una decisión coordinada, no una regla automática.
¿Un respaldo elimina la necesidad forense?
No. Puede ayudar a recuperar, pero no explica acceso, alcance, persistencia ni posible exposición de datos.
¿El informe forense atribuye al atacante?
No necesariamente. Puede describir técnicas y evidencia; la atribución requiere fuentes suficientes y conserva incertidumbre.
Prepare la activación antes de necesitarla
Fuentes y alcance
- NIST SP 800-61 Rev. 3, respuesta a incidentes integrada con CSF 2.0.
- CISA StopRansomware Guide, guía oficial.
- NIST Cybersecurity Framework 2.0, funciones de gestión del riesgo.
La respuesta debe adaptarse al incidente, contratos, regulación y evidencia disponible. No se garantizan recuperación ni atribución.
