Categoría: Ciberseguridad

La mayoría de pymes descubre la ISO 27001 por la puerta de atrás: un cliente grande, una administración pública o una aseguradora les pide el certificado para seguir trabajando juntos. Y ahí empieza la carrera contrarreloj, cuando la norma se ve como un papel que cerrar y no como lo que es: una forma ordenada de proteger la información de tu empresa.

Si estás en ese punto, la buena noticia es que la ISO 27001 es perfectamente abordable para una pyme sin montar un departamento entero ni gastar una fortuna. La clave está en empezar por el sitio correcto y no dispersarse. Aquí tienes el mapa completo: qué te aporta de verdad, qué necesitas como mínimo, y un checklist paso a paso para arrancar hoy mismo.

Qué es la ISO 27001 y qué te aporta de verdad

La ISO 27001 es la norma internacional que define cómo montar un Sistema de Gestión de Seguridad de la Información (SGSI). En cristiano: un conjunto de políticas, controles y procesos para proteger la confidencialidad, integridad y disponibilidad de los datos que maneja tu empresa. No es una herramienta que instalas; es una forma de trabajar que certificas ante un auditor externo.

¿Para qué sirve más allá del sello? Para tres cosas muy concretas. La primera, ganar y no perder contratos: cada vez más licitaciones públicas, grandes cuentas y clientes internacionales exigen la certificación como requisito de entrada. Sin ella, ni te presentas. La segunda, confianza: demuestra a clientes y partners que tomas la seguridad en serio, lo que acorta ciclos de venta y evita interrogatorios de seguridad interminables. Y la tercera, la más infravalorada, orden interno: te obliga a saber qué datos tienes, dónde están, quién accede a ellos y qué haces si algo falla.

La ISO 27001 no protege tu empresa por tener el certificado colgado. Te protege porque, para conseguirlo, te obliga a poner orden donde antes había improvisación.

Requisitos mínimos para una pyme

Olvídate de la idea de que necesitas un equipo de seguridad a tiempo completo. Una pyme puede cumplir la ISO 27001 con recursos modestos si cubre estos mínimos:

• Compromiso de dirección. La norma exige que gerencia esté implicada: aprueba la política, asigna recursos y revisa el sistema. Sin ese respaldo, el proyecto muere.
• Un responsable del SGSI. No hace falta que sea un perfil senior de seguridad; puede ser interno o externalizado, pero alguien tiene que coordinar y responder.
• Un alcance definido. No tienes que certificar toda la empresa de golpe. Puedes acotar a un servicio, una sede o un proceso concreto, lo que reduce drásticamente el esfuerzo.
• Un análisis de riesgos. El corazón de la norma: identificar qué puede salir mal con tu información y decidir cómo tratarlo. Es lo que da sentido a todos los controles.
• Controles del Anexo A. La versión 2022 de la norma trae 93 controles agrupados en cuatro bloques. No aplican todos: eliges los que tu análisis de riesgos justifica y documentas por qué.
• Documentación viva. Políticas, procedimientos y registros. La trampa aquí es generar papeles que nadie usa; el auditor busca evidencia de que se aplican de verdad.

La base técnica también cuenta: copias de seguridad probadas, control de accesos, gestión de contraseñas, antivirus y actualizaciones al día. Muchas pymes ya tienen la mitad hecho sin saberlo; el trabajo consiste en ordenarlo, documentarlo y tapar los huecos. Aquí es donde una buena base de ciberseguridad y normativa te ahorra meses.

Checklist paso a paso para arrancar

Este es el orden que funciona. Sáltate pasos y te tocará rehacerlos más tarde con el reloj en contra:

• 1. Define el alcance. Decide qué parte de la empresa entra en el SGSI. Cuanto más acotado y realista, más rápido llegarás a la certificación sin morir por el camino.
• 2. Consigue el respaldo de dirección. Pon negro sobre blanco quién lidera, qué presupuesto hay y qué se espera. Es el paso que evita que el proyecto se quede a medias.
• 3. Inventaria tus activos de información. Qué datos manejas, en qué sistemas viven, quién los toca. No puedes proteger lo que no sabes que tienes.
• 4. Haz el análisis de riesgos. Cruza activos con amenazas, valora impacto y probabilidad, y prioriza. Este documento manda sobre todo lo demás.
• 5. Selecciona los controles. Elige del Anexo A los que tratan tus riesgos y redacta la Declaración de Aplicabilidad justificando cada decisión.
• 6. Redacta las políticas y procedimientos. Cortos, claros y aplicables. Política de seguridad, control de accesos, gestión de incidentes, copias, proveedores.
• 7. Implanta los controles técnicos y organizativos. Aquí se ejecuta: accesos, cifrado, backups, formación al equipo, gestión de incidencias. Lo que estaba en papel pasa a la realidad.
• 8. Forma y conciencia a tu gente. El eslabón débil casi siempre es humano. Sesiones breves y phishing simulado hacen más que cien documentos.
• 9. Haz una auditoría interna. Antes de que venga el auditor externo, revisa tú mismo si el sistema funciona y corrige las desviaciones.
• 10. Pasa la auditoría de certificación. Una entidad acreditada revisa el SGSI en dos fases. Si todo cuadra, obtienes el certificado, válido tres años con auditorías anuales de seguimiento.

Plazos, costes orientativos y errores típicos

Ninguna implantación es idéntica, pero para una pyme con el alcance bien acotado, lo habitual es entre 4 y 8 meses desde el arranque hasta la auditoría de certificación. Empresas más grandes o con procesos complejos se van a un año. El plazo depende más de la disponibilidad interna que de la dificultad técnica: si nadie tiene tiempo de sacar el proyecto adelante, se eterniza.

En cuanto al coste, hay que separar dos partidas. Por un lado, la implantación (consultoría, horas internas, herramientas), que en una pyme suele moverse en un rango de miles de euros según tamaño y madurez de partida. Por otro, la auditoría de certificación, que factura la entidad acreditada aparte y se repite cada año en las auditorías de seguimiento. Cuanto más ordenada esté ya tu infraestructura, más barata sale la implantación.

Los errores que más caros salen se repiten siempre:

• Certificar toda la empresa a la vez cuando podías empezar por un alcance reducido y ampliarlo después.
• Comprar plantillas de documentos y adaptarlas mal: el auditor detecta a la primera un SGSI de copiar y pegar que nadie aplica.
• Dejar la seguridad técnica para el final. Si tus backups no se restauran o los accesos son un caos, ningún papel te salva en auditoría.
• Olvidar a los proveedores. La norma exige controlar el riesgo de terceros; el que subcontrata sin control suspende.
• Tratar el certificado como un fin. El SGSI es vivo: si lo abandonas tras aprobar, la auditoría de seguimiento del año siguiente lo tumba.

Cómo te acompaña MagicBoxDesk en la implantación

La ISO 27001 falla cuando se enfoca como un trámite documental separado de la realidad técnica de la empresa. En MagicBoxDesk lo abordamos al revés: partimos de tu infraestructura, tus accesos y tus copias de seguridad reales, y sobre esa base montamos el SGSI que el auditor va a certificar. Como externalizamos el departamento IT de pymes y empresas en toda España, no solo redactamos políticas: implantamos y mantenemos los controles técnicos que las sostienen.

Te acompañamos en todo el recorrido: definición de alcance, análisis de riesgos, Declaración de Aplicabilidad, implantación técnica, formación del equipo, auditoría interna y preparación para la certificación. Y después seguimos contigo con monitorización, backups y ciberseguridad gestionada para que las auditorías de seguimiento se aprueben sin sustos. Descubre todo lo que cubrimos en nuestra página de servicios y en el área de ciberseguridad y normativa.

Si tienes un cliente que te exige la ISO 27001 o quieres adelantarte antes de que te la pidan, no lo conviertas en una carrera contrarreloj. Pide presupuesto sin compromiso y te decimos con criterio por dónde empezar, cuánto te costará y en qué plazo real la tendrás lista.

La mayoría de ataques que tumban a una pyme no son obra de un hacker de película: son un correo con una factura falsa, una contraseña reutilizada y un servidor sin parchear desde hace meses. Nada sofisticado. Y ahí está el problema, porque significa que casi todo se puede prevenir con un puñado de medidas bien puestas, no con un presupuesto de multinacional.

Este artículo no es una lista de miedos ni un catálogo de productos. Son las 10 medidas de ciberseguridad para pymes que de verdad mueven la aguja, ordenadas por lo que te dan a cambio de lo que cuestan. Si solo puedes hacer tres cosas este trimestre, aquí sabrás cuáles.

Por qué las pymes son el objetivo favorito

Existe la idea de que «a mí no me van a atacar, soy demasiado pequeño». Es justo al revés. La pyme es el objetivo perfecto porque tiene datos y dinero, pero no tiene equipo de seguridad. El atacante no te elige a ti: lanza campañas automatizadas que rastrean miles de empresas buscando la puerta abierta, y la tuya suele estarlo.

A eso se suma que muchas pymes son proveedoras de empresas más grandes. Comprometerte a ti es la vía barata para llegar a tu cliente: el famoso ataque a la cadena de suministro. Y cuando cae una pyme, no cae «un poco»: se para la facturación, se cifran los presupuestos, se pierde el correo. Un incidente que una gran empresa absorbe puede echar el cierre a un negocio de 15 personas.

Las 10 medidas ordenadas por impacto/coste

Estas son, por experiencia, las medidas que más protección dan por cada euro invertido. Van de arriba abajo: si empiezas por las primeras, con poco dinero cierras la mayoría de las puertas por las que entra un ataque real.

• Copias de seguridad probadas y aisladas (3-2-1). Tres copias, dos soportes, una fuera de la red. Y restaurarlas cada mes: un backup que nunca has probado no es un backup, es una ilusión.
• Doble factor (MFA) en todo lo importante. Correo, VPN, banca, administración. Es lo más barato que existe y detiene el 99% de los accesos con contraseña robada.
• Actualizaciones y parches al día. La mayoría de intrusiones aprovechan fallos ya corregidos. Un calendario de parcheo automático te quita de encima el riesgo más común y más tonto.
• Gestor de contraseñas y fin de las claves repetidas. Una contraseña única y larga por servicio, guardada en un gestor. Se acabó el «misma clave para todo» y el post-it en la pantalla.
• EDR/antivirus gestionado en cada equipo. No el antivirus gratis que nadie mira, sino protección de endpoint con alertas centralizadas que alguien vigila de verdad.
• Formación real contra el phishing. El 90% de los ataques entran por un clic. Enseñar a tu equipo a dudar de un correo cuesta poco y evita el desastre más frecuente.
• Permisos mínimos (mínimo privilegio). Cada persona accede solo a lo que necesita. Si cae una cuenta, el daño se queda en su parcela y no se lleva toda la empresa por delante.
• Segmentación de red y wifi de invitados. Que el portátil de un visitante o la impresora no estén en la misma red que tu ERP. Un compartimento estanco frena la propagación.
• Monitorización 24/7 y registro de eventos. Detectar un intruso en horas, no en semanas. Ver el ataque mientras ocurre marca la diferencia entre un susto y una crisis.
• Plan de respuesta a incidentes escrito. Saber quién hace qué, a quién se llama y en qué orden se restaura. Improvisar el día del ataque es la forma más cara de aprender.

Fíjate en una cosa: las cuatro primeras apenas cuestan dinero, solo criterio y disciplina. Si tu empresa las tuviera todas al día, ya estaría por delante de la mayoría de pymes de tu sector. El resto añade capas, pero el 80% de la protección vive en la parte de arriba de la lista.

La seguridad no es un producto que se compra una vez: es un hábito que se mantiene. El día que dejas de vigilarla, vuelve a estar rota.

Errores que dejan la puerta abierta

Casi ningún incidente empieza por una técnica brillante del atacante. Empieza por un error nuestro que llevaba meses ahí. Estos son los que más veces encontramos al entrar en una empresa por primera vez:

• Backups que nadie ha restaurado nunca. Se descubre que estaban vacíos justo el día que hacen falta.
• Cuentas de personas que ya no están siguen activas meses después de irse.
• El administrador usa la cuenta de admin para todo, incluido leer el correo y navegar.
• Servidores y NAS expuestos a internet «para poder entrar desde casa», sin VPN ni MFA.
• Nadie mira las alertas. Hay antivirus, hay logs, pero no hay una persona responsable de revisarlos.

El patrón se repite: no falta tecnología, falta alguien que se haga cargo. La seguridad sin responsable es una casa con alarma que nadie ha conectado.

Por dónde empezar esta semana

No necesitas un proyecto de seis meses para dar un salto de seguridad. Puedes empezar hoy, con lo que ya tienes. En cinco días laborables, esto es lo realista y lo que más te protege:

• Lunes: activa el doble factor en el correo y en la administración. Es gratis y es lo que más frena.
• Martes: comprueba que tienes backup y restaura un archivo de prueba. Si no puedes, tienes un problema grave que resolver ya.
• Miércoles: revisa quién tiene acceso a qué y desactiva cuentas de gente que ya no está.
• Jueves: lanza las actualizaciones pendientes de sistemas y equipos.
• Viernes: manda un correo interno con tres señales para reconocer un phishing. Formación mínima, impacto máximo.

Con esa semana ya habrás cerrado las puertas por las que entra la mayoría de los ataques. Lo siguiente es convertirlo en algo permanente y vigilado, y ahí es donde entra tener un equipo detrás en lugar de depender de que alguien se acuerde.

Cómo lo implanta MagicBoxDesk

Leer la lista es fácil; sostenerla en el tiempo es lo difícil. En MagicBoxDesk nos encargamos de la ciberseguridad de tu empresa de principio a fin: empezamos por una auditoría que te dice, sin humo, dónde estás y qué riesgo tienes hoy. Después implantamos las medidas por orden de impacto —MFA, copias probadas, parcheo, EDR gestionado, segmentación— y las dejamos funcionando y monitorizadas 24/7, no solo instaladas.

Actuamos como tu departamento IT externalizado: soporte remoto y presencial en toda España, respuesta a incidentes cuando algo pasa y acompañamiento si necesitas cumplir con la ISO 27001 o el RGPD. Tú te ocupas de tu negocio; nosotros de que nadie te lo pare. Puedes ver todo lo que cubrimos en nuestros servicios.

Si has leído hasta aquí, ya sabes lo suficiente para saber que no puedes dejarlo para más adelante. Pide presupuesto sin compromiso y te decimos qué necesitas de verdad —ni más ni menos— para que tu empresa deje de ser un objetivo fácil.

Antes de preguntarte cómo se implanta la ISO 27001, hay una pregunta que decide el resto: ¿a tu empresa le compensa certificarse? Porque certificar cuesta dinero, horas de tu gente y un compromiso que no termina el día que te dan el sello, sino que se renueva cada año. Y no a todas las pymes les sale a cuenta. A algunas, muchísimo. A otras, es tirar presupuesto por vanidad.

Este artículo no va de por dónde empezar ni de checklists de implantación. Va de tomar la decisión con criterio: qué te da de verdad el certificado, cuándo el retorno es evidente, cuánto cuesta sin cifras infladas y qué alternativa tienes si lo que quieres es estar seguro pero el papel todavía no te lo exige nadie.

Qué te da realmente la ISO 27001 (y qué no)

Lo primero, para quitar el humo: la ISO 27001 no te hace inmune a un ataque. No es un antivirus, ni un cortafuegos, ni una garantía de que no te va a entrar un ransomware. Es un sistema de gestión de la seguridad de la información: una forma ordenada y auditada de saber qué datos tienes, qué riesgos corren y qué haces para tratarlos. El certificado acredita que ese sistema existe y funciona, no que seas invulnerable.

Entonces, ¿qué te da a cambio del esfuerzo? En la práctica, tres cosas concretas. La primera es una llave comercial: te abre puertas que sin el sello están cerradas —clientes grandes, licitaciones, contratos internacionales—. La segunda es confianza demostrable: acorta ciclos de venta y te ahorra los cuestionarios de seguridad interminables que te mandan las grandes cuentas antes de firmar. Y la tercera, la más infravalorada, es orden interno real: para certificarte tienes que poner por escrito quién accede a qué, cómo se hacen las copias y qué pasa cuando algo falla. Ese orden vale aunque nunca cuelgues el certificado.

La pregunta útil no es «¿me certifico?», sino «¿cuánto negocio pierdo por no estar certificado?». Con ese número encima de la mesa, la decisión se toma sola.

Cuándo SÍ compensa certificarse

La ISO 27001 sale rentable cuando hay un motivo comercial o normativo claro detrás. Si te reconoces en alguno de estos casos, la respuesta suele ser sí sin muchas vueltas:

• Un cliente te la exige para seguir trabajando. Es el caso más frecuente y el más fácil de decidir: si perder esa cuenta te duele más que el coste de certificarte, compensa. Punto.
• Quieres presentarte a licitaciones o entrar en grandes cuentas. En muchos pliegos y procesos de homologación el certificado es requisito de entrada: sin él, ni te evalúan.
• Manejas datos sensibles de terceros. Si eres proveedor tecnológico, gestionas datos de clientes o tratas información crítica, la certificación es el argumento que despeja las dudas de quien te contrata.
• Operas en un sector regulado o dentro de una cadena de suministro exigente. Cada vez más empresas trasladan sus obligaciones —incluida la presión de normativas como NIS2— a sus proveedores. Te la piden aunque a ti la ley no te obligue directamente.
• Estás en fase de crecimiento y quieres jugar en otra liga. Si tu objetivo es vender a empresas más grandes o expandirte fuera, el certificado deja de ser un lujo y pasa a ser una condición para competir.

Y al revés: si nadie te lo pide, no vendes a grandes cuentas y tu prioridad real es simplemente no tener un susto, quizá no necesites el sello todavía. Necesitas los controles. De eso hablamos más abajo.

Cuánto cuesta de verdad

Aquí es donde muchos se llevan la sorpresa, porque el coste de la ISO 27001 no es una factura única. Son cuatro partidas distintas, y conviene verlas todas antes de decidir:

• Consultoría de implantación. El acompañamiento para montar el sistema: alcance, análisis de riesgos, políticas y controles. Es la partida más visible y varía mucho según el tamaño de tu empresa y lo ordenada que esté tu infraestructura de partida.
• Tiempo interno de tu equipo. El coste oculto que nadie presupuesta. Tu gente tiene que aportar información, aprobar políticas y aplicar lo que se documenta. Si nadie tiene horas para el proyecto, se eterniza y sale más caro.
• Auditoría de certificación. La factura una entidad acreditada independiente, aparte de la consultoría. Es la que emite el certificado tras revisar tu sistema en dos fases.
• Mantenimiento anual. El certificado dura tres años, pero cada año hay una auditoría de seguimiento. Un sistema abandonado se cae solo, así que hay que mantenerlo vivo: eso son horas y, a menudo, herramientas.

No te voy a dar una cifra cerrada porque sería mentira: depende de tu tamaño, del alcance que definas y de cuánto tengas ya hecho. Y ahí está la buena noticia. Cuanto más ordenada esté tu base técnica —copias probadas, control de accesos, actualizaciones al día—, más barata sale la implantación, porque media norma ya la estás cumpliendo sin saberlo. La forma más rápida de disparar el coste es certificar toda la empresa de golpe cuando podías empezar por un alcance acotado y ampliarlo después.

La alternativa: implantar los controles sin certificar

Aquí está el matiz que casi nadie te cuenta: lo que te protege no es el certificado, son los controles. El sello es la acreditación de que un tercero ha verificado que esos controles existen. Si nadie te está pidiendo el papel, puedes quedarte con la parte que de verdad te blinda y ahorrarte la auditoría externa y su renovación anual.

En la práctica significa implantar las medidas que salen de la propia norma —análisis de riesgos, copias de seguridad que se restauran de verdad, control de accesos, gestión de incidentes, formación del equipo, control de proveedores— pero sin pasar por la entidad certificadora. Tienes buena seguridad, cumples de hecho con buena parte de lo que exigen tus clientes y evitas el coste recurrente del certificado. Es la vía inteligente cuando tu prioridad es no tener un susto, no ganar una licitación.

La ventaja añadida es que ese trabajo no se tira: el día que un cliente te exija la ISO 27001, ya tendrás el 70 % del camino hecho y la certificación será un trámite de formalizar y documentar, no un proyecto desde cero. Empezar por los controles y certificar cuando llegue el momento es, casi siempre, la decisión más rentable. Una buena base de ciberseguridad y normativa es exactamente ese punto de partida.

Cómo te ayuda MagicBoxDesk a decidir (y a llegar hasta el certificado)

La mayoría de consultoras te venden el certificado sin preguntarte si lo necesitas. En MagicBoxDesk hacemos lo contrario: lo primero es decirte con honestidad si a tu empresa le compensa certificarse o si te basta con implantar los controles. Miramos quién te lo pide, qué negocio hay en juego y en qué estado está tu infraestructura, y sobre eso te damos una recomendación con números, no una venta.

Y si la respuesta es que sí compensa, te llevamos hasta el final. Como externalizamos el departamento IT de pymes y empresas en toda España, no nos limitamos a redactar políticas: partimos de tus copias, tus accesos y tus sistemas reales, implantamos los controles técnicos que sostienen la norma y te acompañamos hasta la auditoría de certificación. Después seguimos contigo con monitorización, backups y ciberseguridad gestionada para que las auditorías de seguimiento anuales se aprueben sin sustos. Puedes ver todo lo que cubrimos en nuestra página de servicios.

Así que antes de gastarte un euro en un certificado que quizá no necesitas —o de dejar pasar un contrato por no tenerlo—, deja que te lo digamos claro. Pide presupuesto sin compromiso y te decimos si te compensa, cuánto te costaría de verdad y en qué plazo real lo tendrías listo.

Los ficheros aparecen con extensiones raras, hay una nota de rescate en el escritorio y los equipos empiezan a caer en cadena. En ese momento no necesitas un tratado sobre ciberseguridad: necesitas saber qué haces en los próximos sesenta minutos. Porque lo que decidas ahí —y sobre todo lo que hagas por puro nervio— marca la diferencia entre un día malo y dos semanas con el negocio parado.

Este no es un artículo de prevención. Da por hecho que ya está pasando y te da el plan de respuesta a incidente paso a paso: qué tocar, qué no tocar, a quién llamar y en qué orden recuperar. Guárdalo antes de necesitarlo, porque cuando lo necesites no vas a tener tiempo de buscarlo.

Por qué las primeras horas lo deciden todo

El ransomware no cifra a la velocidad de la luz. Cuando ves la nota de rescate, el cifrado sigue avanzando por la red: cada minuto que un equipo infectado sigue conectado son más carpetas compartidas, más servidores y —lo que más duele— más copias de seguridad cayendo. La ventana para contener el daño se mide en minutos, no en horas. Ahí se juega si mañana abres o no.

El otro enemigo de esa primera hora es el pánico. La reacción instintiva —apagarlo todo, reiniciar servidores, empezar a borrar lo que se ve infectado, pagar el rescate para acabar rápido— es casi siempre la reacción equivocada. Contener no es reaccionar deprisa; es reaccionar en el orden correcto. Una empresa que aísla con cabeza recupera desde copia en dos días. Una que improvisa a golpe de nervios acaba con el incidente extendido, las evidencias destruidas y ninguna copia limpia a la que volver.

El ransomware no castiga el fallo técnico; castiga la improvisación. Quien tiene el plan escrito ejecuta; quien no lo tiene, discute mientras el cifrado avanza.

Los primeros pasos correctos, en orden

Este es el guion de la primera hora. No lo improvises: hazlo tal cual, de arriba abajo.

• Aísla los equipos afectados de la red. Desconecta el cable, apaga el wifi, corta la VPN. El objetivo es frenar la propagación de inmediato. Aislar es lo primero, siempre, antes de investigar nada.
• No apagues a lo loco. Desconectar de la red no es lo mismo que apagar en frío. Apagar borra información volátil que sirve para saber qué pasó y cómo entraron, y en algunos casos hasta complica la recuperación de datos. Aísla, pero deja los equipos encendidos salvo que te lo indique quien lleva el incidente.
• Protege las copias de seguridad ya. Antes que cualquier otra cosa, asegúrate de que las copias no son alcanzables desde la red comprometida. Si el ransomware llega a ellas, se acabó la conversación. Desconéctalas o verifica que están aisladas e inmutables.
• Corta los accesos remotos y las cuentas privilegiadas. VPN, escritorio remoto, accesos de proveedores y cuentas de administrador. Por donde entraron pueden volver a entrar, y muchas veces el atacante sigue dentro mirando cómo reaccionas.
• Preserva las evidencias. Haz fotos de la nota de rescate, anota la hora, no borres registros ni ficheros cifrados. Esa información es oro para saber el alcance, para el seguro y, si hace falta, para la denuncia.
• Activa el plan y pon a una persona al mando. Alguien coordina, decide y comunica; el resto ejecuta. Avisa a tu proveedor de ciberseguridad gestionada y empieza a documentar qué se ve afectado. En una crisis, cinco personas decidiendo en paralelo hacen más daño que el propio ataque.

Con esto hecho, el incendio está contenido. Ahora toca valorar el alcance con calma: qué está cifrado, qué no, y si hay indicios de que además se hayan llevado datos —lo que se llama doble extorsión—, porque eso cambia tus obligaciones legales.

Qué NO hacer bajo ningún concepto

La mitad de una buena respuesta es no cometer los errores que convierten un incidente en un desastre irreversible. Estos son los cuatro que más caros salen.

• No pagues a ciegas. Pagar no garantiza recuperar los datos —muchos descifradores fallan o llegan a medias—, te marca como quien paga y financia el siguiente ataque. Es la última opción, nunca la primera, y solo tras evaluar a fondo si puedes restaurar desde copia.
• No restaures sobre lo infectado. Recuperar los datos en un sistema aún comprometido, o sin haber cerrado la vía de entrada, reinicia la pesadilla en horas. Primero se limpia o se reinstala; después se restaura.
• No lo ocultes. Silenciar el incidente para que no se entere nadie te expone a sanciones por no notificar y destruye la confianza cuando acabe sabiéndose, que acabará sabiéndose. La transparencia bien gestionada protege; el silencio agrava.
• No borres logs ni ficheros. «Limpiar» por tu cuenta destruye las evidencias que necesitas para entender el alcance, cumplir con la ley y cobrar el seguro. No toques los registros: son tu mejor aliado.

Notificación y obligaciones: el reloj legal también corre

Mientras contienes y recuperas, hay un segundo reloj en marcha que mucha gente ignora hasta que es tarde. Si en el ataque se han visto comprometidos datos personales —de clientes, empleados o proveedores—, el RGPD te obliga a notificar la brecha a la AEPD en un plazo de 72 horas desde que tienes conocimiento. No espera a que hayas recuperado el servicio y no es opcional: no notificar suma una sanción al desastre que ya tienes encima.

Y hay más frentes que atender en paralelo, sin dejarlos para el final:

• Comunicación a afectados. Si la brecha supone un riesgo alto para clientes o empleados, además de a la AEPD hay que informarles a ellos. Prepara un mensaje claro y honesto, no un comunicado vacío.
• Aviso al seguro. Si tienes una póliza de ciberriesgo, comunícalo cuanto antes: muchas exigen notificación inmediata y te dan acceso a un equipo de respuesta. Actuar por tu cuenta puede dejarte fuera de cobertura.
• Denuncia y organismos. Presentar denuncia y avisar a los canales de referencia como INCIBE deja constancia y te da apoyo. La documentación que preservaste en la primera hora es justo lo que aquí hace falta.

Tener identificado de antemano quién redacta la notificación, quién habla con el seguro y quién con los clientes es lo que permite cumplir estos plazos sin frenar la recuperación técnica. Improvisarlo con el negocio parado es la receta para incumplir los tres.

Cómo te ayuda MagicBoxDesk: respuesta a incidentes y recuperación desde copia limpia

Todo lo anterior suena sencillo escrito con calma. A las tres de la madrugada, con el negocio parado y el teléfono sonando, no lo es. Por eso el mayor valor no está en tener el plan en un PDF, sino en tener a alguien al otro lado que lo ejecute contigo. En MagicBoxDesk montamos, mantenemos y accionamos ese plan de respuesta como servicio, dentro de tu IT externalizado, con soporte remoto y presencial en toda España.

• Respuesta a incidentes con un plan definido y ensayado: quién aísla, quién decide, a quién se avisa y en qué orden, para actuar en minutos en lugar de improvisar en días.
• Contención y análisis del alcance: aislamos lo afectado, preservamos evidencias y determinamos si hubo robo de datos, sin destruir la información que necesitas después.
• Copias inmutables y aisladas, con restauraciones probadas de forma periódica, para que cuando llegue el momento haya de verdad una copia limpia a la que volver.
• Recuperación en el orden correcto: identidad y autenticación primero, después lo que factura o produce, luego correo y ficheros, y los puestos al final, reinstalados desde imagen limpia.
• Apoyo en obligaciones legales: notificación de brecha en plazo, comunicación al seguro y a los afectados, con la documentación en regla.
• Cierre de la vía de entrada antes de reconectar, para que el ataque no vuelva a empezar en cuanto todo arranca.

Lo ideal es que hablemos antes del incidente, no durante. Preparar el plan, las copias y los accesos cuesta una fracción de lo que cuesta un rescate o dos semanas de parón, y es lo que convierte una crisis en un mal rato. Si ya lo tienes encima, también estamos para ayudarte a contener y recuperar.

En MagicBoxDesk nos encargamos de tu seguridad y tu plan de respuesta para que tú te ocupes de tu negocio. Pide presupuesto sin compromiso y te decimos qué necesitas de verdad para que las primeras horas de un ransomware jueguen a tu favor y no en tu contra.