Qué hacer si tu empresa sufre un ciberataque en horario laboral: protocolo de respuesta

Un ciberataque durante la jornada laboral puede interrumpir la facturación, bloquear archivos o impedir el acceso a aplicaciones corporativas. Mientras los empleados siguen trabajando, el incidente puede afectar a otros equipos y servicios.

La prioridad es contener la amenaza, avisar al equipo responsable y evitar acciones que dificulten la recuperación. Tener un protocolo definido permite actuar con rapidez y reducir el impacto en la operativa de la empresa.

¿Qué hacer durante los primeros minutos de un ciberataque?

Ante una sospecha de ciberataque, la empresa debe actuar con rapidez, pero sin improvisar. Las primeras medidas deben centrarse en contener el incidente, informar a los responsables y evitar que se extienda a otros sistemas.

Las prioridades son:

• Contener la amenaza: limitar la conexión de los equipos afectados siguiendo las indicaciones del equipo técnico.
• Notificar el incidente: avisar inmediatamente al responsable de IT o al equipo de ciberseguridad por un canal seguro.
• Evitar acciones improvisadas: no abrir archivos sospechosos, conectar dispositivos USB ni intentar reparar los equipos por cuenta propia.

Protocolo de respuesta ante un ciberataque en la empresa: 5 pasos

1. Aislar los equipos afectados

Si un equipo muestra signos de infección, debe aislarse de la red para reducir el riesgo de que el incidente se extienda. El equipo técnico debe indicar cómo hacerlo según el dispositivo y la situación.

No apagues ni reinicies el equipo por iniciativa propia. Estas acciones pueden eliminar información útil para investigar el incidente. Sigue las instrucciones del personal especializado.

2. Avisar al equipo de IT o ciberseguridad

Comunica lo ocurrido cuanto antes e indica qué equipo está afectado, qué has observado y cuándo ha comenzado el problema. Si el correo o las herramientas corporativas podrían estar comprometidos, utiliza un canal alternativo previamente establecido.

El responsable de la respuesta debe coordinar las actuaciones y decidir si es necesario activar el protocolo de crisis.

3. Contener los accesos comprometidos

Si existen indicios de robo de credenciales, el equipo técnico debe revisar las sesiones activas, las cuentas privilegiadas y los accesos remotos. Según el alcance del incidente, puede ser necesario revocar sesiones, bloquear cuentas o limitar determinadas conexiones.

Estas medidas deben coordinarse para evitar que el ciberdelincuente mantenga el acceso o que se interrumpan innecesariamente otros servicios esenciales.

4. Dar instrucciones claras a los empleados

La dirección y el equipo responsable deben comunicar qué medidas debe seguir la plantilla. Es importante evitar rumores y acciones que puedan agravar el incidente.

Las instrucciones deben indicar qué equipos deben desconectarse, qué herramientas pueden seguir utilizándose y cómo comunicar nuevas señales de alerta. Los empleados no deben reenviar mensajes sospechosos, conectar memorias USB ni contactar con clientes por iniciativa propia sobre el incidente.

5. Comprobar el alcance y proteger las copias de seguridad

Antes de recuperar los sistemas, es necesario determinar qué equipos, cuentas y datos se han visto afectados. También debe comprobarse si las copias de seguridad siguen intactas y están protegidas frente al acceso del ciberdelincuente.

La restauración debe realizarse cuando se haya contenido la amenaza y se hayan verificado las copias. Recuperar los sistemas sin corregir el acceso inicial podría permitir que el incidente se repita.

Errores que debes evitar durante un ciberataque

La presión por recuperar la operativa puede llevar a tomar decisiones precipitadas. Estos son algunos errores que conviene evitar:

• Pagar el rescate sin valorar las alternativas: el pago no garantiza recuperar los datos ni evita que se utilicen o divulguen.
• Ocultar el incidente: retrasar la comunicación interna puede dificultar la contención y la coordinación de la respuesta.
• Formatear los equipos sin asesoramiento técnico: puede eliminar pruebas necesarias para investigar el origen y el alcance del incidente.
• Restaurar las copias antes de contener la amenaza: si el acceso del ciberdelincuente sigue activo, los sistemas recuperados pueden volver a verse comprometidos.

¿Cuándo debe notificarse un ciberataque a las autoridades?

Las obligaciones de notificación dependen del tipo de incidente, los datos afectados y la normativa aplicable a la organización.

• RGPD: si se produce una brecha de datos personales que entraña un riesgo para los derechos y libertades de las personas, el responsable del tratamiento debe notificar a la autoridad de control sin dilación indebida y, cuando sea posible, en un máximo de 72 horas desde que tiene constancia de ella. Si existe un riesgo alto, también puede ser obligatorio informar a las personas afectadas.
  
  
• NIS2: las entidades incluidas en su ámbito deben cumplir los requisitos de notificación de incidentes significativos que les resulten aplicables. El marco europeo contempla una alerta temprana en 24 horas y una notificación del incidente en 72 horas, además de un informe posterior.

No todos los ciberataques generan las mismas obligaciones. La empresa debe evaluar el incidente, documentar las decisiones y consultar a los responsables de seguridad, protección de datos o asesoría legal cuando corresponda.

Cómo preparar a tu empresa para responder a un ciberataque

La respuesta es más eficaz cuando los responsables conocen sus funciones, los canales de emergencia están definidos y los procedimientos se han probado previamente. Esperar a que ocurra un incidente para decidir cómo actuar puede retrasar la contención y la recuperación.

En ESED ayudamos a las empresas a mejorar su capacidad de prevención, detección y respuesta mediante monitorización 24/7, servicios gestionados de detección y respuesta (MDR/XDR), análisis de vulnerabilidades y análisis forense.