La primera hora: qué se hace y, sobre todo, qué no

Los primeros diez minutos: ¿es real?

El reflejo ante un aviso es actuar. Es el reflejo equivocado, porque la gran mayoría de lo que entra no es un incidente: un certificado caducado, una actualización que salió mal, un empleado de vacaciones que entra desde otro país.

Empieza por tres preguntas y anota las respuestas desde el minuto uno:

• ¿Qué ves exactamente y dónde? No «el servidor va raro» sino qué aviso, en qué sistema, a qué hora. Esa hora será después la primera línea de tu cronología.
• ¿Se está extendiendo? Un puesto con archivos cifrados es otra cosa que tres departamentos a la vez. La diferencia decide si contienes o miras más antes.
• ¿Quién ha hecho ya algo? Normalmente alguien ha reiniciado o borrado algo antes de que el aviso te llegara. Necesitas saberlo, porque explica después por qué falta un rastro.

Anótalo todo con horas — en un documento compartido o incluso en papel, pero no en el sistema que puede estar comprometido. Esas notas no son burocracia: son lo que tu aseguradora, tu supervisor y tu propia gente van a necesitar dentro de tres semanas, y nadie las puede reconstruir después.

En esta fase designa también a una persona al mando. No al mejor técnico — a ese lo necesitas en la técnica — sino a alguien que mantenga la visión de conjunto, tome decisiones y coja el teléfono. Sin ese papel, a los veinte minutos hay cinco personas hablando a la vez.

Qué no se hace, y por qué

Esta es la parte más importante del artículo, porque los errores caros de la primera hora son casi todos bienintencionados.

• No apagar. Desenchufar parece la jugada más segura y borra la memoria. Ahí suele estar la única prueba de lo que se ejecutaba y de cómo entró. Saca el equipo de la red — cable fuera, wifi apagado — y déjalo encendido. La excepción es un cifrado visiblemente en marcha que no puedas parar de otra forma; entonces el daño pesa más que el rastro.
• No reinstalar. Un sistema que arrasas y restauras de inmediato es un sistema del que nunca sabrás por dónde entró el atacante. Así no cierras el hueco y en dos semanas vuelve a estar.
• No fisgar en el sistema comprometido. Entrar con una cuenta de administrador «para echar un vistazo» pone esas credenciales en una máquina que está en manos de otro. Así un administrador que investiga convierte un puesto comprometido en un dominio comprometido.
• No pagar ni negociar en la primera hora. Es una decisión de la dirección junto con tu aseguradora. Pagar no garantiza que recuperes nada y hay aristas jurídicas sobre quién está al otro lado.
• No callárselo a la dirección. La tentación de mirar primero si la cosa es leve es grande y el desenlace es siempre el mismo: la dirección se entera tarde y tiene que explicar tanto el incidente como la demora.

Hay una cosa que sí se hace de inmediato: proteger las copias de seguridad. En un ataque dirigido son el primer objetivo, porque un cifrado sin vía de recuperación es lo que hace real la presión. Comprueba que tu copia inmutable sigue ahí y desconecta el entorno de copias de la red donde está el problema. Por qué tiene que ser una copia que nadie pueda borrar está en copia inmutable.

Contener sin pararlo todo

Una vez confirmado que es real, se trata de cortar. El objetivo no es limpiar — eso viene después — sino evitar que siga extendiéndose.

En el orden que suele funcionar:

• Red antes que equipo. Aislar un segmento infectado en el switch o el cortafuegos es más rápido que recorrer veinte puestos, y deja los sistemas encendidos.
• Cuentas antes que máquinas. En casi todo incidente hay una cuenta tomada. Cambia las contraseñas de administrador, revoca las sesiones activas e invalida los tokens; esto último se olvida casi siempre, y sin ello alguien sigue dentro después de haber cambiado la contraseña.
• Cierra las conexiones externas. Proveedores con acceso de gestión, la VPN, enlaces a sistemas de clientes. Este es también el momento de pensar si estás infectando a otro.
• Aísla las copias, si no se ha hecho ya.

Lo que aceptas al hacerlo es que parte de la organización se para. Esa es una decisión de dirección y no de la técnica, y por eso ese papel tiene que estar asignado en el primer cuarto de hora. La pregunta «¿podemos sacar las tiendas de la red?» no se resuelve a la una y media de la madrugada.

A quién llamas y qué reloj corre

Corren varios plazos a la vez, y arrancan no cuando entiendes el incidente sino cuando sabes de él.

• Tu dirección: de inmediato. Aunque el cuadro esté incompleto. Un estado intermedio de «esto lo sabemos, esto no» sirve; esperar a la certeza no.
• Tu aseguradora: en unas horas. Muchas pólizas fijan qué parte hace la investigación y ponen requisitos a la notificación. Quien contrata primero a su propio investigador arriesga que esos costes no queden cubiertos.
• La autoridad de protección de datos: en 72 horas. Si hay datos personales afectados, se notifica. El plazo corre desde que lo sabes, y se puede notificar con información incompleta y completarla después.
• El supervisor bajo el régimen NIS2: primer aviso en 24 horas. Si estás dentro del ámbito, hay una alerta temprana antes que la notificación completa, seguida de un informe final. Qué significa en la práctica está en NIS2: qué debes poder demostrar.
• Clientes y proveedores: en cuanto tengas algo que decir. Mejor un mensaje diciendo que lo estás investigando que un cliente enterándose por otro.

El problema práctico no es que no se conozcan estos números. Es que están en el sistema que acaba de caerse. Una lista de teléfonos tiene que existir por tanto fuera de tu entorno: en papel en un cajón, o en un móvil que no cuelgue de tu dominio.

Qué debe estar listo antes de que pase

Todo lo anterior cuesta un tiempo que el día en cuestión no tendrás. Lo que separa una primera hora caótica de una controlada son cuatro cosas, y ninguna es cara.

• Una página en papel. Quién dirige, quién llama a la dirección, qué tres números marcas y cómo os localizáis si el correo está caído. En papel, porque la versión digital está en el entorno que acabas de cortar.
• Un canal acordado fuera de tu entorno. Si el atacante puede estar leyendo el correo y el chat, hace falta otra cosa. Eso se acuerda antes; durante el incidente no hay tiempo de montar nada ni de meter a todos.
• Saber quién puede decidir apagar algo. Por su nombre, con un suplente detrás por si esa persona no coge el teléfono.
• Repasarlo una vez al año. No un simulacro grande con facilitador externo, sino una hora en una mesa con la pregunta: es viernes por la tarde y el servidor de archivos está cifrado, ¿quién llama a quién? Los huecos que salen son siempre los mismos: el número está desfasado, quien conocía la copia se ha ido y nadie sabe si el seguro cubre esto.

Ese último punto es la razón por la que ensayamos la recuperación en lugar de solo describirla. Un plan de recuperación correcto sobre el papel y nunca ejecutado es una suposición. La única forma de saber cuánto tiempo estarás sin sistemas es medirlo una vez un día en que no haga falta.