Evaluación de preparación ante ransomware

¿Por qué los atacantes van primero por tus copias?

Para entender esta evaluación hay que entender al adversario, y su lógica es despiadadamente simple. El ransomware gana cuando no tienes alternativa al pago, y la única alternativa real es restaurar desde una copia limpia. Por eso, los manuales de ataque modernos ya no empiezan cifrando la producción: empiezan buscando y destruyendo los respaldos. Si logran borrar o cifrar tus copias antes de atacar los sistemas, te dejan sin salida y maximizan la probabilidad de cobro. Agencias como CISA, la NSA y el FBI describen las copias inmutables como la «última línea de defensa» precisamente por esto: cuando el atacante no puede tocar el respaldo, pierde su mejor palanca. La consecuencia para tu empresa es incómoda pero clarificadora: tu capacidad de sobrevivir a un ataque no depende solo de evitar la entrada, sino de que tus copias resistan cuando la entrada ya ocurrió. Esta evaluación mide justo eso.

¿Qué evalúa una evaluación de preparación?

Conviene ser preciso sobre el alcance, porque «preparación ante ransomware» significa cosas distintas para gente distinta. Esta evaluación se centra en el respaldo y la recuperación: la capa que decide si podrás volver sin pagar. Revisamos cómo están construidas tus copias, si alguna sobreviviría a un atacante con credenciales válidas, si las restauraciones se han probado de verdad y si cumplirían tus tiempos. No es una auditoría de seguridad completa ni una prueba de intrusión; es una radiografía de tu recuperabilidad. Usamos como columna vertebral el marco NIST CSF —en particular sus funciones de Proteger y Recuperar— y las guías de CISA y NIST SP 800-184 sobre recuperación ante eventos. El resultado no es una nota abstracta, sino un inventario de servicios críticos y una lista de brechas concreta. Para el lado de la respuesta y el análisis forense de un incidente ya ocurrido, ese es otro alcance, y lo abordamos por separado.

La regla 3-2-1-1-0: el estándar de resiliencia

El punto de referencia que respaldan CISA y NIST es la evolución de la vieja regla 3-2-1, pensada para la era del ransomware. La 3-2-1-1-0 pide 3 copias de los datos (la producción y dos respaldos), en 2 tipos de medio distintos, con 1 copia fuera de sitio, 1 copia inmutable o con air-gap que un atacante no pueda borrar aunque robe credenciales, y 0 errores —es decir, una recuperación verificada por pruebas, con cero fallos al restaurar—. Ese último dígito es el que más se olvida y el más importante: de nada sirven cinco copias si ninguna se ha restaurado nunca. Durante la evaluación contrastamos tu arquitectura real contra cada uno de estos componentes y señalamos cuáles cumples, cuáles cumples a medias y cuáles faltan. La regla no es un dogma, pero es un excelente espejo: pocas empresas se ven completas la primera vez que se miran en él.

¿Sobrevivirían tus copias a un ataque?

El corazón técnico de la evaluación está en dos propiedades que deciden si una copia es de verdad un refugio. La inmutabilidad (tecnología WORM) impide modificar o borrar una copia durante un período definido, ni siquiera con privilegios de administrador; no significa «para siempre», sino que el atacante no puede borrarla más rápido de lo que tú detectas el ataque. El air-gap mantiene una copia desconectada de la red de producción: puede ser físico —cintas u unidades que se desconectan tras cada ciclo, invisibles para quien escanea la red— o lógico, mediante segmentación y controles de acceso estrictos que solo abren un canal seguro durante la ventana de copia. Ninguna de las dos es infalible por sí sola: ambas pueden caer por robo de credenciales o por una vulnerabilidad de la API. Por eso lo más sólido combina las dos, en varios sitios y con fronteras de seguridad distintas, de modo que al menos una copia sobreviva a un compromiso total de la red. La evaluación verifica si tienes ese refugio, o solo crees tenerlo.

El entorno de recuperación aislado (clean room)

Tener una copia intacta es la mitad del problema; la otra mitad es restaurarla sin volver a meter el malware en casa. Aquí entra el entorno de recuperación aislado —también llamado clean room o cleanroom recovery—: un espacio seguro y separado donde se restauran y analizan los datos antes de devolverlos a producción. La buena práctica es una restauración de confianza cero: cada archivo se escanea y se verifica como limpio antes de reintroducirlo, para no reinfectar la red recién recuperada. Sin este paso, una recuperación apresurada puede reactivar el ataque que se acababa de superar. En la evaluación comprobamos si existe ese camino de recuperación limpia, o si tu plan actual restauraría directamente sobre la producción, con el riesgo que eso implica. Es la misma disciplina que ensayamos en las pruebas de recuperación, llevada al caso específico del ransomware.

¿Podrías recuperar a tiempo? RTO y RPO probados

Una copia que sobrevive y está limpia todavía tiene que poder restaurarse dentro del tiempo que tu negocio tolera. Por eso la evaluación no se queda en revisar configuraciones: ejecuta o revisa pruebas de restauración de tus servicios clave y mide tres cosas que muchos nunca han medido: la tasa de éxito de la restauración, el tiempo real que toma por sistema y la vigencia de los datos recuperados. Esos números se comparan con los objetivos de RTO y RPO que el negocio definió, para revelar la brecha entre lo que se promete y lo que de verdad ocurriría. Es frecuente descubrir que el RTO «de cuatro horas» del papel es, en la práctica, de día y medio. Saber eso antes del ataque —y no durante— es exactamente el valor de la evaluación, y conecta de forma directa con tu plan de continuidad.

Higiene de accesos a las copias

Hay un detalle técnico que separa a las empresas preparadas del resto, y casi nadie lo tiene bien. Como el atacante suele entrar con credenciales robadas, los permisos sobre el sistema de respaldo son un campo de batalla. La buena práctica, que verificamos, es restringir los permisos de restauración más que los de copia: si un atacante consigue acceso de escritura, unos controles de restauración más estrictos dificultan que extraiga o manipule los datos. A eso se suma cifrar las copias en reposo y en tránsito, separar las cuentas de administración del respaldo del resto del dominio, y aplicar autenticación multifactor en las consolas de backup. Son medidas poco vistosas, sin presupuesto de hardware, pero de las más eficaces: muchas veces la diferencia entre un respaldo que salva la empresa y uno que el atacante borra es, simplemente, quién tenía la llave.

Cómo hacemos tu evaluación

El proceso es ordenado y termina en algo que la dirección pueda usar, no en un informe que nadie lee.

# Postura de respaldo frente a 3-2-1-1-0 y recuperabilidad
CONTROL                                   ESTADO     BRECHA
3 copias / 2 medios / 1 fuera de sitio    OK         -
1 copia inmutable                         OK         -
1 copia con air-gap                       falta      [alta]
Restauración probada (trimestral)         parcial    [media]
RTO / RPO validados contra el negocio     no         [alta]
Permisos de restore < permisos de backup  no         [media]
Entorno de recuperación aislado           no         [alta]

# Lectura: recuperaría, pero hoy no hay garantía de no pagar. Plan adjunto.

Qué entregamos: un mapa de brechas accionable

El valor de una evaluación está en lo que dejas con ella, no en el ejercicio. Nuestra entrega incluye un inventario de servicios y datos críticos y de los flujos que importan durante un incidente; una lista de brechas en lenguaje claro, donde cada hallazgo lleva su impacto al negocio, su costo estimado de corrección y un responsable; la evidencia de si tus copias y restauraciones cumplen los objetivos de tiempo y de pérdida; y un conjunto breve de métricas que la dirección pueda seguir cada trimestre, mapeadas a las funciones del marco NIST CSF. Es deliberadamente accionable: en vez de una nota de riesgo difusa, recibes una lista de tareas priorizadas que cualquier equipo de TI puede empezar a cerrar el lunes. Y como la preparación no es un estado permanente, dejamos la base para repetir la medición y ver el progreso con el tiempo. Y si la evaluación revela que tu mayor brecha es la velocidad de respuesta, esa se cierra con un retainer de recuperación que ponga un laboratorio en espera.

¿Cuánto cuesta no estar preparado?

La preparación se entiende mejor cuando se compara con su ausencia. Un ataque de ransomware no cuesta solo el rescate; cuesta el tiempo de inactividad —que se propaga a ventas, soporte y cadena de suministro—, la recuperación a contrarreloj, el daño reputacional y, cada vez más, la exposición regulatoria. Las normas sectoriales y las leyes de protección de datos esperan hoy notificación pronta del incidente, control de acceso, copias probadas y documentación clara; llegar a un ataque sin nada de eso convierte una crisis técnica en una crisis legal. Frente a ese panorama, una evaluación de preparación es de las inversiones más rentables en seguridad: cuesta una fracción de un día de parálisis y suele revelar que las brechas más peligrosas se cierran con cambios de configuración y de proceso, no con grandes compras. Saber dónde estás parado, antes del ataque, no tiene comparación con descubrirlo durante.

Lo que no hacemos: alcance honesto

Preferimos ser claros sobre los límites, porque en seguridad la ambigüedad cuesta cara. Esta evaluación es estrictamente defensiva: no realizamos pruebas de penetración, no atacamos ni intentamos vulnerar tus sistemas, y no hacemos seguridad ofensiva de ningún tipo. Nos centramos en una pregunta concreta —si podrías recuperar sin pagar— y en la capa de respaldo y recuperación que la responde. Tampoco somos tu equipo de respuesta a incidentes en caliente ni tu proveedor de SOC; cuando un ataque ya está en curso, la recuperación ante ransomware es un servicio aparte, y el análisis forense de lo ocurrido entra en el terreno del peritaje informático. Decir con precisión qué hacemos y qué no es parte de hacerlo bien: una evaluación honesta vale más que una promesa de protección total que nadie puede cumplir.

Casos frecuentes en empresas panameñas

Las evaluaciones nos llegan, casi siempre, por uno de tres caminos. Está la empresa que vio caer a otra de su sector por ransomware y quiere saber si ella resistiría, antes de que le toque. Está la que un cliente grande o un regulador le exige demostrar copias probadas y un plan de recuperación, y necesita una evaluación independiente que lo evidencie. Y está la que ya invirtió en respaldo —compró la solución, marcó la casilla— pero nunca ha confirmado si de verdad funcionaría bajo ataque. Para todas, el patrón se repite: casi ninguna está tan preparada como cree, y casi todas pueden cerrar sus mayores brechas con cambios más baratos de lo que temían. Hacemos la evaluación en toda la república, bajo acuerdo de confidencialidad y con los estándares de calidad y cadena de custodia del laboratorio, y la entregamos como lo que debe ser: el primer paso para que, si llega el ataque, la respuesta sea «restauramos» y no «¿cuánto piden?».

Preguntas frecuentes