La primera hora: qué se hace y, sobre todo, qué no

Los primeros diez minutos: ¿es real?

El reflejo ante un aviso es actuar. Es el reflejo equivocado, porque la gran mayoría de lo que entra no es un incidente: un certificado caducado, una actualización que salió mal, un empleado de vacaciones que entra desde otro país.

Empiece por tres preguntas y anote las respuestas desde el minuto uno:

• ¿Qué ve exactamente y dónde? No «el servidor va raro» sino qué aviso, en qué sistema, a qué hora. Esa hora será después la primera línea de su cronología.
• ¿Se está extendiendo? Un puesto con archivos cifrados es otra cosa que tres departamentos a la vez. La diferencia decide si contiene o mira más antes.
• ¿Quién ha hecho ya algo? Normalmente alguien ha reiniciado o borrado algo antes de que el aviso le llegara. Necesita saberlo, porque explica después por qué falta un rastro.

Anótelo todo con horas, en un documento compartido o incluso en papel, pero no en el sistema que puede estar comprometido. Esas notas no son burocracia: son lo que su aseguradora, su supervisor y su propia gente van a necesitar dentro de tres semanas, y nadie las puede reconstruir después.

En esta fase designa también a una persona al mando. No al mejor técnico (a ese lo necesita en la técnica) sino a alguien que mantenga la visión de conjunto, tome decisiones y coja el teléfono. Sin ese papel, a los veinte minutos hay cinco personas hablando a la vez.

Qué no se hace, y por qué

Esta es la parte más importante del artículo, porque los errores caros de la primera hora son casi todos bienintencionados.

• No apagar. Desenchufar parece la jugada más segura y borra la memoria. Ahí suele estar la única prueba de lo que se ejecutaba y de cómo entró. Saque el equipo de la red (cable fuera, wifi apagado) y déjelo encendido. La excepción es un cifrado visiblemente en marcha que no pueda parar de otra forma; entonces el daño pesa más que el rastro.
• No reinstalar. Un sistema que arrasa y restaura de inmediato es un sistema del que nunca sabrá por dónde entró el atacante. Así no cierra el hueco y en dos semanas vuelve a estar.
• No fisgar en el sistema comprometido. Entrar con una cuenta de administrador «para echar un vistazo» pone esas credenciales en una máquina que está en manos de otro. Así un administrador que investiga convierte un puesto comprometido en un dominio comprometido.
• No pagar ni negociar en la primera hora. Es una decisión de la dirección junto con su aseguradora. Pagar no garantiza que recupere nada y hay aristas jurídicas sobre quién está al otro lado.
• No callárselo a la dirección. La tentación de mirar primero si la cosa es leve es grande y el desenlace es siempre el mismo: la dirección se entera tarde y tiene que explicar tanto el incidente como la demora.

Hay una cosa que sí se hace de inmediato: proteger las copias de seguridad. En un ataque dirigido son el primer objetivo, porque un cifrado sin vía de recuperación es lo que hace real la presión. Compruebe que su copia inmutable sigue ahí y desconecte el entorno de copias de la red donde está el problema. Por qué tiene que ser una copia que nadie pueda borrar está en copia inmutable.

Contener sin pararlo todo

Una vez confirmado que es real, se trata de cortar. El objetivo no es limpiar (eso viene después) sino evitar que siga extendiéndose.

En el orden que suele funcionar:

• Red antes que equipo. Aislar un segmento infectado en el switch o el cortafuegos es más rápido que recorrer veinte puestos, y deja los sistemas encendidos.
• Cuentas antes que máquinas. En casi todo incidente hay una cuenta tomada. Cambia las contraseñas de administrador, revoca las sesiones activas e invalida los tokens; esto último se olvida casi siempre, y sin ello alguien sigue dentro después de haber cambiado la contraseña.
• Cierre las conexiones externas. Proveedores con acceso de gestión, la VPN, enlaces a sistemas de clientes. Este es también el momento de pensar si está infectando a otro.
• Aísle las copias, si no se ha hecho ya.

Lo que acepta al hacerlo es que parte de la organización se para. Esa es una decisión de dirección y no de la técnica, y por eso ese papel tiene que estar asignado en el primer cuarto de hora. La pregunta «¿podemos sacar las tiendas de la red?» no se resuelve a la una y media de la madrugada.

A quién llama y qué reloj corre

Corren varios plazos a la vez, y arrancan no cuando entiende el incidente sino cuando sabe de él.

• Su dirección: de inmediato. Aunque el cuadro esté incompleto. Un estado intermedio de «esto lo sabemos, esto no» sirve; esperar a la certeza no.
• Su aseguradora: en unas horas. Muchas pólizas fijan qué parte hace la investigación y ponen requisitos a la notificación. Quien contrata primero a su propio investigador arriesga que esos costes no queden cubiertos.
• La autoridad de protección de datos: en 72 horas. Si hay datos personales afectados, se notifica. El plazo corre desde que lo sabe, y se puede notificar con información incompleta y completarla después.
• El supervisor bajo el régimen NIS2: primer aviso en 24 horas. Si está dentro del ámbito, hay una alerta temprana antes que la notificación completa, seguida de un informe final. Qué significa en la práctica está en NIS2: qué debe poder demostrar.
• Clientes y proveedores: en cuanto tenga algo que decir. Mejor un mensaje diciendo que lo está investigando que un cliente enterándose por otro.

El problema práctico no es que no se conozcan estos números. Es que están en el sistema que acaba de caerse. Una lista de teléfonos tiene que existir por tanto fuera de su entorno: en papel en un cajón, o en un móvil que no cuelgue de su dominio.

Qué debe estar listo antes de que pase

Todo lo anterior cuesta un tiempo que el día en cuestión no tendrá. Lo que separa una primera hora caótica de una controlada son cuatro cosas, y ninguna es cara.

• Una página en papel. Quién dirige, quién llama a la dirección, qué tres números marcas y cómo os localizáis si el correo está caído. En papel, porque la versión digital está en el entorno que acabas de cortar.
• Un canal acordado fuera de su entorno. Si el atacante puede estar leyendo el correo y el chat, hace falta otra cosa. Eso se acuerda antes; durante el incidente no hay tiempo de montar nada ni de meter a todos.
• Saber quién puede decidir apagar algo. Por su nombre, con un suplente detrás por si esa persona no coge el teléfono.
• Repasarlo una vez al año. No un simulacro grande con facilitador externo, sino una hora en una mesa con la pregunta: es viernes por la tarde y el servidor de archivos está cifrado, ¿quién llama a quién? Los huecos que salen son siempre los mismos: el número está desfasado, quien conocía la copia se ha ido y nadie sabe si el seguro cubre esto.

Ese último punto es la razón por la que ensayamos la recuperación en lugar de solo describirla. Un plan de recuperación correcto sobre el papel y nunca ejecutado es una suposición. La única forma de saber cuánto tiempo estará sin sistemas es medirlo una vez un día en que no haga falta.