Muchas empresas no sienten que tienen un problema de seguridad hasta que necesitan recuperar un archivo crítico, desactivar el acceso de alguien que se fue o seguir operando después de una falla. En ese momento se descubre que accesos, respaldos y continuidad no son frentes separados: un acceso mal controlado es la puerta por la que entra el ransomware, un respaldo sin probar es lo que no lo deja recuperar y una continuidad sin responsables es lo que convierte una mañana mala en una semana perdida.
Este artículo recorre los tres frentes con controles concretos, pensados para una organización sin un equipo de seguridad dedicado.
Accesos: el riesgo empieza antes del ataque
Cuando una empresa crece rápido, los accesos se asignan por conveniencia. Cuentas compartidas, permisos que nunca se retiran, privilegios excesivos y proveedores con acceso sin fecha de salida terminan abriendo una superficie de riesgo mucho mayor que la que la organización imagina.
El primer control no es comprar una herramienta nueva. Es poder contestar cuatro preguntas para cada sistema importante: quién entra, con qué permisos, quién lo autorizó y cuándo se revisa.
Autenticación multifactor, sin excepciones cómodas
La guía #StopRansomware de CISA recomienda MFA resistente al phishing para todos los servicios, en especial el correo, las VPN y las cuentas que acceden a sistemas críticos. Microsoft, por su parte, afirma en su documentación de valores predeterminados de seguridad de Entra ID que el MFA y el bloqueo de la autenticación heredada detienen más del 99,9 % de los ataques de identidad comunes que observa.
Ese segundo punto importa: los protocolos antiguos de correo (IMAP, POP3, SMTP con contraseña) no admiten MFA, así que dejarlos abiertos permite saltarse la protección aunque esté activada.
Lista de revisión de accesos
- Eliminar las cuentas compartidas en procesos críticos; cada persona con su usuario.
- Separar las cuentas de administración de las de uso diario.
- Revisar cada trimestre los permisos heredados y los perfiles sobredimensionados.
- Definir alta, cambio y baja de usuarios con un responsable y un plazo (la baja, el mismo día de la salida).
- Dar a los proveedores accesos con fecha de vencimiento y revisarlos al cerrar cada contrato.
- Mantener dos cuentas de emergencia (“break glass”) documentadas y vigiladas, como recomienda Microsoft para sus inquilinos.
Respaldo: tener copia no es suficiente
Un respaldo solo vale cuando se puede restaurar a tiempo y completo. Muchas compañías creen estar cubiertas porque existe alguna copia automática, pero no saben cuánto se perdería, cuánto tarda la recuperación ni si el dato clave está incluido.
Empieza por RPO y RTO
Dos medidas ordenan cualquier conversación de respaldo. El NIST las define en su guía de planes de contingencia (SP 800-34): el RPO es el punto en el tiempo al que hay que recuperar los datos tras una interrupción, y el RTO es el tiempo total que un sistema puede estar en recuperación antes de afectar la operación.
Dicho de forma práctica:
- RPO: cuántas horas de trabajo puedes permitirte perder. Si es una hora, una copia diaria no sirve.
- RTO: cuánto tiempo puedes estar sin el sistema. Si son cuatro horas, restaurar desde un disco que alguien debe ir a buscar a otra sede no alcanza.
Definirlos por servicio (facturación, correo, ERP, archivos compartidos) evita respaldar todo igual y gastar donde no hace falta.
Copias fuera de alcance y pruebas de restauración
CISA recomienda mantener copias desconectadas y cifradas de los datos críticos y probar con regularidad su disponibilidad e integridad en un escenario de recuperación. Muchas variantes de ransomware buscan primero las copias accesibles desde la red para cifrarlas o borrarlas.
| Pregunta | Respuesta que buscas |
|---|---|
| ¿Qué cubre la copia? | La lista de sistemas y datos críticos, no “el servidor”. |
| ¿Cada cuánto corre? | Una frecuencia coherente con el RPO de cada servicio. |
| ¿Dónde vive? | Al menos una copia fuera de la red principal o inmutable. |
| ¿Cuándo se probó? | Una restauración completa reciente, con fecha y duración medida. |
| ¿Quién restaura? | Una persona nombrada, y su suplente. |
Los servicios en la nube también se respaldan
Microsoft recomienda en su contrato de servicios respaldar con regularidad el contenido que se guarda en sus servicios. La papelera ayuda, pero tiene límites: por ejemplo, un sitio de SharePoint eliminado se conserva 93 días. Si tu operación vive en Microsoft 365 o Google Workspace, el respaldo de esos datos es una decisión tuya. Lo detallamos en qué revisar antes de migrar a Microsoft 365 o Azure.
Continuidad: la pregunta correcta es quién decide
Cuando ocurre una caída, el problema rara vez es solo técnico. Aparece una pregunta de coordinación: quién comunica, quién prioriza, qué se recupera primero y con qué criterio se escala. Si eso no está definido, la empresa pierde tiempo justo cuando más necesita claridad.
Un plan básico cabe en dos páginas
- Lista de servicios críticos con su RTO y RPO.
- Responsable de decidir y su suplente, con teléfono personal.
- Rutas de contacto que no dependan de los sistemas caídos (si el correo está cifrado, no sirve para avisar).
- Orden de recuperación: qué vuelve primero y por qué.
- Proveedores a los que llamar y qué tiene pactado cada uno.
- Mensajes base para clientes y equipo.
Ensáyalo una vez al año
Un ejercicio de mesa de una hora, con un escenario concreto (“el servidor de archivos amaneció cifrado”), revela más vacíos que cualquier documento. Al final, anota qué faltó y quién lo resuelve.
Errores frecuentes
- Activar MFA solo para administradores y dejar el correo de todos con contraseña.
- Tener el respaldo en un disco conectado permanentemente al mismo servidor.
- Dar por bueno el respaldo porque “la tarea terminó sin errores”, sin restaurar nunca.
- Guardar el plan de continuidad en el mismo servidor que se cae.
- Confiar en que el proveedor de nube respalda todo por defecto.
Por dónde empezar esta semana
Si solo puedes hacer tres cosas: activa MFA en el correo y en los accesos remotos, pide una restauración de prueba del sistema más importante y escribe en una página quién decide durante una caída. Con eso, la organización ya puede explicar cómo previene, cómo recupera y cómo decide bajo presión.
Si quieres hacerlo con acompañamiento, así trabajamos en ciberseguridad y continuidad.
Preguntas frecuentes
¿Cuál es el primer control de accesos que debería aplicar?
Autenticación multifactor para todas las cuentas, empezando por administradores, correo y VPN, y bloquear la autenticación heredada que permite saltársela.
¿Cómo sé si mi respaldo realmente funciona?
Restaurándolo. Haz una restauración completa de prueba de un sistema crítico, mide cuánto tarda y compara el resultado con el RTO y el RPO que definiste.
¿Qué debe incluir un plan básico de continuidad?
La lista de servicios críticos con su RTO y RPO, responsables con suplente, rutas de contacto que no dependan de los sistemas caídos y el orden de recuperación.