Llegas a la oficina un lunes y en todas las pantallas aparece el mismo mensaje: tus archivos están cifrados y, para recuperarlos, hay que pagar. El servidor no responde, el programa de facturación tampoco, y tus empleados te miran esperando que digas algo. En ese momento hay dos posibilidades: que tengas claro qué hacer primero y a quién llamar, o que empieces a improvisar con el corazón a cien.
Las grandes empresas no improvisan. Tienen un protocolo de respuesta a incidentes con roles asignados: quién manda, quién toca los equipos, quién habla con los clientes, quién avisa a las autoridades. Y lo han ensayado. Una pyme puede tener su versión pequeña, en una o dos páginas, y un agente de IA puede encargarse de mantenerla al día y de anotar todo lo que ocurre mientras las personas se ocupan de lo importante.
Las primeras horas, en orden
Este es un esquema general pensado para una pyme. Adáptalo con tu técnico de confianza, porque cada empresa tiene sus sistemas.
- Aísla, no sigas trabajando. Desconecta de la red (cable y wifi) los equipos que muestren el mensaje o funcionen de forma rara. Pide a todos que dejen de usar los ordenadores en los que hayan visto algo extraño. Antes de apagar o reinstalar nada, consulta con el técnico, porque esos equipos pueden conservar pistas útiles.
- Avisa a tu técnico de confianza o a la empresa que te da soporte informático. Es la primera llamada.
- Reúne a las pocas personas que deciden y abre una cronología: qué se ha visto, a qué hora y quién lo ha visto. Anotar desde el principio ahorra muchos errores después.
- Comprueba las copias de seguridad. Hay que saber si existen, dónde están y, sobre todo, si el ataque las ha alcanzado. No restaures nada hasta que el técnico confirme que el entorno está limpio.
- Valora si hay datos personales afectados. Si el ataque ha podido afectar a información de clientes, empleados o proveedores, puede tratarse de una brecha de seguridad. La normativa de protección de datos exige, como regla general, notificarla a la Agencia Española de Protección de Datos en un plazo de 72 horas desde que se tiene conocimiento, salvo que sea improbable que suponga un riesgo para las personas. Esa valoración la hace la dirección junto a un profesional.
- Avisa a quien corresponda. Si tienes seguro que cubra incidentes informáticos, llama a tu aseguradora cuanto antes. Conviene presentar una denuncia ante las fuerzas de seguridad, y existe un servicio público de ayuda en ciberseguridad de INCIBE (teléfono 017) al que puedes consultar.
- Decide cómo comunicar. Clientes, proveedores y plantilla necesitan saber qué pasa, sin dramatismos y sin inventar. Un mensaje corto, honesto y revisado.
- No tomes a la ligera la cuestión del rescate. Pagar no asegura recuperar los datos y las autoridades suelen desaconsejarlo. Es una decisión de la dirección, con asesoramiento profesional, no algo que se resuelva en el primer impulso.
Quién hace qué
Un protocolo no funciona si todos hacen de todo. En una pyme, una misma persona puede llevar dos papeles, pero conviene que cada función tenga un nombre escrito:
- Dirección (tú). Decide. Autoriza parar la actividad, aprueba las comunicaciones, decide sobre la denuncia y sobre cualquier cuestión de dinero. No toca los equipos.
- Técnico de confianza. Ejecuta las acciones técnicas: aislar, analizar, limpiar, restaurar. Informa a la dirección de lo que encuentra y de los riesgos de cada paso.
- Responsable de protección de datos o gestor. Valora si hay brecha de datos personales y prepara, en su caso, la notificación a la autoridad.
- Persona de comunicación. Puede ser el propio gerente o alguien del equipo. Lleva los mensajes a clientes, proveedores y plantilla.
- Resto del equipo. Sigue las instrucciones: no abrir nada sospechoso, no intentar arreglarlo por su cuenta, pasar a trabajar con los medios alternativos que se indiquen.
Qué aporta el agente
El agente no apaga el incendio, pero evita que se pierda tiempo y se olviden cosas en un momento de mucha tensión:
- Mantiene la hoja de contactos al día: el técnico, la aseguradora, el asesor de protección de datos, el banco, los clientes clave. Con teléfono y una segunda vía, y con aviso cuando alguien ha cambiado de número o de cargo.
- Guarda el protocolo paso a paso y te lo recuerda por orden en una situación de crisis, marcando lo que ya está hecho y lo que falta.
- Registra la cronología. Anota cada hora, cada decisión, quién la tomó y por qué. Ese registro es muy valioso después, para la aseguradora, para la autoridad y para aprender del incidente.
- Avisa de los plazos, por ejemplo de las 72 horas para valorar y, en su caso, notificar la brecha.
- Prepara borradores de comunicados para clientes, proveedores y plantilla, que la dirección revisa y aprueba antes de enviarlos.
Lo que no le pides al agente
- No decide por ti. Ni si se paga, ni si se denuncia, ni si se para la actividad. Esas decisiones son de la dirección.
- No ejecuta acciones técnicas sobre equipos afectados. Eso lo hace el técnico, que sabe qué tocar y qué no.
- No negocia con los atacantes. Si en algún momento se considera hablar con ellos, lo hace un profesional especializado y con la dirección al tanto.
- No sustituye el asesoramiento legal. La valoración de si hay obligación de notificar, y a quién, corresponde a un profesional de protección de datos o a un abogado.
Que el plan sobreviva al ataque
Hay un detalle que se olvida a menudo: si el ataque cifra tus sistemas, también puede dejarte sin acceso a la hoja de contactos y al protocolo. Por eso:
- Imprime la hoja de contactos y los pasos y guárdalos en un sitio físico conocido por las personas clave.
- Guarda una copia fuera de la red de la empresa, por ejemplo en los teléfonos de los responsables.
- No pongas contraseñas en esa hoja. Las claves se guardan aparte, con las medidas que te recomiende tu técnico.
- Haz un simulacro una vez al año: un rato corto para repasar quién haría qué si mañana ocurriera. El día que pase de verdad, lo agradecerás.
Para prevenir antes que lamentar, tienes guías sobre cómo planificar la ciberseguridad de una pyme y sobre cómo automatizar las copias de seguridad, y si lo que te preocupa es seguir funcionando mientras se resuelve, en plan de continuidad en una página verás cómo preparar el trabajo a mano.
Conclusión
Ante un ataque de ransomware, lo que separa a una empresa preparada de otra desbordada no es la tecnología, sino tener claro quién hace qué. Con un protocolo sencillo, un agente que mantenga la hoja de contactos y registre la cronología, un técnico de confianza que ejecute las acciones y una dirección que tome las decisiones, las primeras horas se viven con más calma y menos errores.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.