Categoría: Ciberseguridad

Antes de preguntarte cómo se implanta la ISO 27001, hay una pregunta que decide el resto: ¿a tu empresa le compensa certificarse? Porque certificar cuesta dinero, horas de tu gente y un compromiso que no termina el día que te dan el sello, sino que se renueva cada año. Y no a todas las pymes les sale a cuenta. A algunas, muchísimo. A otras, es tirar presupuesto por vanidad.

Este artículo no va de por dónde empezar ni de checklists de implantación. Va de tomar la decisión con criterio: qué te da de verdad el certificado, cuándo el retorno es evidente, cuánto cuesta sin cifras infladas y qué alternativa tienes si lo que quieres es estar seguro pero el papel todavía no te lo exige nadie.

Qué te da realmente la ISO 27001 (y qué no)

Lo primero, para quitar el humo: la ISO 27001 no te hace inmune a un ataque. No es un antivirus, ni un cortafuegos, ni una garantía de que no te va a entrar un ransomware. Es un sistema de gestión de la seguridad de la información: una forma ordenada y auditada de saber qué datos tienes, qué riesgos corren y qué haces para tratarlos. El certificado acredita que ese sistema existe y funciona, no que seas invulnerable.

Entonces, ¿qué te da a cambio del esfuerzo? En la práctica, tres cosas concretas. La primera es una llave comercial: te abre puertas que sin el sello están cerradas —clientes grandes, licitaciones, contratos internacionales—. La segunda es confianza demostrable: acorta ciclos de venta y te ahorra los cuestionarios de seguridad interminables que te mandan las grandes cuentas antes de firmar. Y la tercera, la más infravalorada, es orden interno real: para certificarte tienes que poner por escrito quién accede a qué, cómo se hacen las copias y qué pasa cuando algo falla. Ese orden vale aunque nunca cuelgues el certificado.

La pregunta útil no es «¿me certifico?», sino «¿cuánto negocio pierdo por no estar certificado?». Con ese número encima de la mesa, la decisión se toma sola.

Cuándo SÍ compensa certificarse

La ISO 27001 sale rentable cuando hay un motivo comercial o normativo claro detrás. Si te reconoces en alguno de estos casos, la respuesta suele ser sí sin muchas vueltas:

• Un cliente te la exige para seguir trabajando. Es el caso más frecuente y el más fácil de decidir: si perder esa cuenta te duele más que el coste de certificarte, compensa. Punto.
• Quieres presentarte a licitaciones o entrar en grandes cuentas. En muchos pliegos y procesos de homologación el certificado es requisito de entrada: sin él, ni te evalúan.
• Manejas datos sensibles de terceros. Si eres proveedor tecnológico, gestionas datos de clientes o tratas información crítica, la certificación es el argumento que despeja las dudas de quien te contrata.
• Operas en un sector regulado o dentro de una cadena de suministro exigente. Cada vez más empresas trasladan sus obligaciones —incluida la presión de normativas como NIS2— a sus proveedores. Te la piden aunque a ti la ley no te obligue directamente.
• Estás en fase de crecimiento y quieres jugar en otra liga. Si tu objetivo es vender a empresas más grandes o expandirte fuera, el certificado deja de ser un lujo y pasa a ser una condición para competir.

Y al revés: si nadie te lo pide, no vendes a grandes cuentas y tu prioridad real es simplemente no tener un susto, quizá no necesites el sello todavía. Necesitas los controles. De eso hablamos más abajo.

Cuánto cuesta de verdad

Aquí es donde muchos se llevan la sorpresa, porque el coste de la ISO 27001 no es una factura única. Son cuatro partidas distintas, y conviene verlas todas antes de decidir:

• Consultoría de implantación. El acompañamiento para montar el sistema: alcance, análisis de riesgos, políticas y controles. Es la partida más visible y varía mucho según el tamaño de tu empresa y lo ordenada que esté tu infraestructura de partida.
• Tiempo interno de tu equipo. El coste oculto que nadie presupuesta. Tu gente tiene que aportar información, aprobar políticas y aplicar lo que se documenta. Si nadie tiene horas para el proyecto, se eterniza y sale más caro.
• Auditoría de certificación. La factura una entidad acreditada independiente, aparte de la consultoría. Es la que emite el certificado tras revisar tu sistema en dos fases.
• Mantenimiento anual. El certificado dura tres años, pero cada año hay una auditoría de seguimiento. Un sistema abandonado se cae solo, así que hay que mantenerlo vivo: eso son horas y, a menudo, herramientas.

No te voy a dar una cifra cerrada porque sería mentira: depende de tu tamaño, del alcance que definas y de cuánto tengas ya hecho. Y ahí está la buena noticia. Cuanto más ordenada esté tu base técnica —copias probadas, control de accesos, actualizaciones al día—, más barata sale la implantación, porque media norma ya la estás cumpliendo sin saberlo. La forma más rápida de disparar el coste es certificar toda la empresa de golpe cuando podías empezar por un alcance acotado y ampliarlo después.

La alternativa: implantar los controles sin certificar

Aquí está el matiz que casi nadie te cuenta: lo que te protege no es el certificado, son los controles. El sello es la acreditación de que un tercero ha verificado que esos controles existen. Si nadie te está pidiendo el papel, puedes quedarte con la parte que de verdad te blinda y ahorrarte la auditoría externa y su renovación anual.

En la práctica significa implantar las medidas que salen de la propia norma —análisis de riesgos, copias de seguridad que se restauran de verdad, control de accesos, gestión de incidentes, formación del equipo, control de proveedores— pero sin pasar por la entidad certificadora. Tienes buena seguridad, cumples de hecho con buena parte de lo que exigen tus clientes y evitas el coste recurrente del certificado. Es la vía inteligente cuando tu prioridad es no tener un susto, no ganar una licitación.

La ventaja añadida es que ese trabajo no se tira: el día que un cliente te exija la ISO 27001, ya tendrás el 70 % del camino hecho y la certificación será un trámite de formalizar y documentar, no un proyecto desde cero. Empezar por los controles y certificar cuando llegue el momento es, casi siempre, la decisión más rentable. Una buena base de ciberseguridad y normativa es exactamente ese punto de partida.

Cómo te ayuda MagicBoxDesk a decidir (y a llegar hasta el certificado)

La mayoría de consultoras te venden el certificado sin preguntarte si lo necesitas. En MagicBoxDesk hacemos lo contrario: lo primero es decirte con honestidad si a tu empresa le compensa certificarse o si te basta con implantar los controles. Miramos quién te lo pide, qué negocio hay en juego y en qué estado está tu infraestructura, y sobre eso te damos una recomendación con números, no una venta.

Y si la respuesta es que sí compensa, te llevamos hasta el final. Como externalizamos el departamento IT de pymes y empresas en toda España, no nos limitamos a redactar políticas: partimos de tus copias, tus accesos y tus sistemas reales, implantamos los controles técnicos que sostienen la norma y te acompañamos hasta la auditoría de certificación. Después seguimos contigo con monitorización, backups y ciberseguridad gestionada para que las auditorías de seguimiento anuales se aprueben sin sustos. Puedes ver todo lo que cubrimos en nuestra página de servicios.

Así que antes de gastarte un euro en un certificado que quizá no necesitas —o de dejar pasar un contrato por no tenerlo—, deja que te lo digamos claro. Pide presupuesto sin compromiso y te decimos si te compensa, cuánto te costaría de verdad y en qué plazo real lo tendrías listo.

Los ficheros aparecen con extensiones raras, hay una nota de rescate en el escritorio y los equipos empiezan a caer en cadena. En ese momento no necesitas un tratado sobre ciberseguridad: necesitas saber qué haces en los próximos sesenta minutos. Porque lo que decidas ahí —y sobre todo lo que hagas por puro nervio— marca la diferencia entre un día malo y dos semanas con el negocio parado.

Este no es un artículo de prevención. Da por hecho que ya está pasando y te da el plan de respuesta a incidente paso a paso: qué tocar, qué no tocar, a quién llamar y en qué orden recuperar. Guárdalo antes de necesitarlo, porque cuando lo necesites no vas a tener tiempo de buscarlo.

Por qué las primeras horas lo deciden todo

El ransomware no cifra a la velocidad de la luz. Cuando ves la nota de rescate, el cifrado sigue avanzando por la red: cada minuto que un equipo infectado sigue conectado son más carpetas compartidas, más servidores y —lo que más duele— más copias de seguridad cayendo. La ventana para contener el daño se mide en minutos, no en horas. Ahí se juega si mañana abres o no.

El otro enemigo de esa primera hora es el pánico. La reacción instintiva —apagarlo todo, reiniciar servidores, empezar a borrar lo que se ve infectado, pagar el rescate para acabar rápido— es casi siempre la reacción equivocada. Contener no es reaccionar deprisa; es reaccionar en el orden correcto. Una empresa que aísla con cabeza recupera desde copia en dos días. Una que improvisa a golpe de nervios acaba con el incidente extendido, las evidencias destruidas y ninguna copia limpia a la que volver.

El ransomware no castiga el fallo técnico; castiga la improvisación. Quien tiene el plan escrito ejecuta; quien no lo tiene, discute mientras el cifrado avanza.

Los primeros pasos correctos, en orden

Este es el guion de la primera hora. No lo improvises: hazlo tal cual, de arriba abajo.

• Aísla los equipos afectados de la red. Desconecta el cable, apaga el wifi, corta la VPN. El objetivo es frenar la propagación de inmediato. Aislar es lo primero, siempre, antes de investigar nada.
• No apagues a lo loco. Desconectar de la red no es lo mismo que apagar en frío. Apagar borra información volátil que sirve para saber qué pasó y cómo entraron, y en algunos casos hasta complica la recuperación de datos. Aísla, pero deja los equipos encendidos salvo que te lo indique quien lleva el incidente.
• Protege las copias de seguridad ya. Antes que cualquier otra cosa, asegúrate de que las copias no son alcanzables desde la red comprometida. Si el ransomware llega a ellas, se acabó la conversación. Desconéctalas o verifica que están aisladas e inmutables.
• Corta los accesos remotos y las cuentas privilegiadas. VPN, escritorio remoto, accesos de proveedores y cuentas de administrador. Por donde entraron pueden volver a entrar, y muchas veces el atacante sigue dentro mirando cómo reaccionas.
• Preserva las evidencias. Haz fotos de la nota de rescate, anota la hora, no borres registros ni ficheros cifrados. Esa información es oro para saber el alcance, para el seguro y, si hace falta, para la denuncia.
• Activa el plan y pon a una persona al mando. Alguien coordina, decide y comunica; el resto ejecuta. Avisa a tu proveedor de ciberseguridad gestionada y empieza a documentar qué se ve afectado. En una crisis, cinco personas decidiendo en paralelo hacen más daño que el propio ataque.

Con esto hecho, el incendio está contenido. Ahora toca valorar el alcance con calma: qué está cifrado, qué no, y si hay indicios de que además se hayan llevado datos —lo que se llama doble extorsión—, porque eso cambia tus obligaciones legales.

Qué NO hacer bajo ningún concepto

La mitad de una buena respuesta es no cometer los errores que convierten un incidente en un desastre irreversible. Estos son los cuatro que más caros salen.

• No pagues a ciegas. Pagar no garantiza recuperar los datos —muchos descifradores fallan o llegan a medias—, te marca como quien paga y financia el siguiente ataque. Es la última opción, nunca la primera, y solo tras evaluar a fondo si puedes restaurar desde copia.
• No restaures sobre lo infectado. Recuperar los datos en un sistema aún comprometido, o sin haber cerrado la vía de entrada, reinicia la pesadilla en horas. Primero se limpia o se reinstala; después se restaura.
• No lo ocultes. Silenciar el incidente para que no se entere nadie te expone a sanciones por no notificar y destruye la confianza cuando acabe sabiéndose, que acabará sabiéndose. La transparencia bien gestionada protege; el silencio agrava.
• No borres logs ni ficheros. «Limpiar» por tu cuenta destruye las evidencias que necesitas para entender el alcance, cumplir con la ley y cobrar el seguro. No toques los registros: son tu mejor aliado.

Notificación y obligaciones: el reloj legal también corre

Mientras contienes y recuperas, hay un segundo reloj en marcha que mucha gente ignora hasta que es tarde. Si en el ataque se han visto comprometidos datos personales —de clientes, empleados o proveedores—, el RGPD te obliga a notificar la brecha a la AEPD en un plazo de 72 horas desde que tienes conocimiento. No espera a que hayas recuperado el servicio y no es opcional: no notificar suma una sanción al desastre que ya tienes encima.

Y hay más frentes que atender en paralelo, sin dejarlos para el final:

• Comunicación a afectados. Si la brecha supone un riesgo alto para clientes o empleados, además de a la AEPD hay que informarles a ellos. Prepara un mensaje claro y honesto, no un comunicado vacío.
• Aviso al seguro. Si tienes una póliza de ciberriesgo, comunícalo cuanto antes: muchas exigen notificación inmediata y te dan acceso a un equipo de respuesta. Actuar por tu cuenta puede dejarte fuera de cobertura.
• Denuncia y organismos. Presentar denuncia y avisar a los canales de referencia como INCIBE deja constancia y te da apoyo. La documentación que preservaste en la primera hora es justo lo que aquí hace falta.

Tener identificado de antemano quién redacta la notificación, quién habla con el seguro y quién con los clientes es lo que permite cumplir estos plazos sin frenar la recuperación técnica. Improvisarlo con el negocio parado es la receta para incumplir los tres.

Cómo te ayuda MagicBoxDesk: respuesta a incidentes y recuperación desde copia limpia

Todo lo anterior suena sencillo escrito con calma. A las tres de la madrugada, con el negocio parado y el teléfono sonando, no lo es. Por eso el mayor valor no está en tener el plan en un PDF, sino en tener a alguien al otro lado que lo ejecute contigo. En MagicBoxDesk montamos, mantenemos y accionamos ese plan de respuesta como servicio, dentro de tu IT externalizado, con soporte remoto y presencial en toda España.

• Respuesta a incidentes con un plan definido y ensayado: quién aísla, quién decide, a quién se avisa y en qué orden, para actuar en minutos en lugar de improvisar en días.
• Contención y análisis del alcance: aislamos lo afectado, preservamos evidencias y determinamos si hubo robo de datos, sin destruir la información que necesitas después.
• Copias inmutables y aisladas, con restauraciones probadas de forma periódica, para que cuando llegue el momento haya de verdad una copia limpia a la que volver.
• Recuperación en el orden correcto: identidad y autenticación primero, después lo que factura o produce, luego correo y ficheros, y los puestos al final, reinstalados desde imagen limpia.
• Apoyo en obligaciones legales: notificación de brecha en plazo, comunicación al seguro y a los afectados, con la documentación en regla.
• Cierre de la vía de entrada antes de reconectar, para que el ataque no vuelva a empezar en cuanto todo arranca.

Lo ideal es que hablemos antes del incidente, no durante. Preparar el plan, las copias y los accesos cuesta una fracción de lo que cuesta un rescate o dos semanas de parón, y es lo que convierte una crisis en un mal rato. Si ya lo tienes encima, también estamos para ayudarte a contener y recuperar.

En MagicBoxDesk nos encargamos de tu seguridad y tu plan de respuesta para que tú te ocupes de tu negocio. Pide presupuesto sin compromiso y te decimos qué necesitas de verdad para que las primeras horas de un ransomware jueguen a tu favor y no en tu contra.