Cómo prevenir ransomware en una pyme con controles que sí pueden sostenerse

1. Identifica qué debe seguir funcionando y de qué depende

Empieza con un inventario mantenible de dispositivos, servidores, cuentas, aplicaciones, servicios en la nube, datos y proveedores. Asigna propietario, ubicación, sistema, soporte y criticidad. CISA incluye el inventario de activos físicos y lógicos entre las prácticas de preparación porque no se puede proteger, actualizar o recuperar aquello que la organización desconoce.

Relaciona cada proceso crítico con sus dependencias. Para emitir una factura quizá se necesiten internet, identidad, aplicación, base de datos, certificado, impresora y respaldo. Define cuánto tiempo puede estar detenido y qué alternativa temporal existe. Esta priorización evita repartir recursos de manera uniforme y permite que la recuperación empiece por la capacidad empresarial, no por el equipo que produce más ruido.

• Activos y cuentas con propietario responsable.
• Sistemas expuestos a internet y accesos remotos.
• Datos imprescindibles y su ubicación real.
• Dependencias de facturación, ventas, citas y comunicación.
• Orden acordado para restaurar servicios.

Incluye servicios en la nube y equipos que trabajan fuera de la oficina. Que el proveedor aloje la plataforma no elimina la responsabilidad sobre identidades, configuraciones, exportaciones y continuidad.

2. Reduce las rutas de entrada más aprovechables

Mantén sistemas operativos, navegadores, aplicaciones, firmware y dispositivos de red dentro de versiones soportadas. Prioriza vulnerabilidades explotadas y activos accesibles desde internet. CISA recomienda no exponer servicios remotos directamente cuando pueda evitarse y aplicar controles compensatorios cuando sean necesarios. Deshabilita servicios, protocolos, cuentas y software que no tengan una función vigente.

Protege correo e identidad con autenticación multifactor, contraseñas únicas, filtros y verificación de solicitudes. Aplica MFA especialmente a correo, administración, nube, VPN y acceso remoto. Complementa con protección de endpoints administrada y alertas revisadas por una persona responsable. Las herramientas sólo ayudan si reciben actualizaciones, tienen cobertura comprobada y generan avisos que alguien atiende.

• Proceso periódico de actualización con evidencia y excepciones.
• MFA en cuentas críticas y eliminación de credenciales compartidas.
• Acceso remoto mediante rutas administradas, no exposición improvisada.
• Protección de endpoints y correo con alertas operadas.
• Capacitación para reportar phishing, archivos y accesos anómalos.

3. Limita lo que puede alcanzar una cuenta comprometida

El trabajo diario no debe realizarse con permisos administrativos. Separa cuentas de usuario y administración, concede el acceso mínimo necesario y retíralo cuando cambien funciones o contratos. Revisa grupos, carpetas compartidas, aplicaciones y credenciales de servicio. Una cuenta con acceso innecesario convierte un incidente localizado en un problema de mayor alcance.

Segmenta redes y servicios según función y criticidad. Equipos de usuarios, servidores, respaldos, cámaras y dispositivos de terceros no deberían comunicarse sin necesidad. Registra inicios de sesión, cambios administrativos y actividad de seguridad en un lugar que el atacante no pueda borrar con facilidad. La segmentación no es sólo un firewall: requiere reglas documentadas, pruebas y responsables de aprobar excepciones.

• Cuentas administrativas separadas y protegidas con MFA.
• Permisos por función con revisión y fecha de retiro.
• Redes separadas para usuarios, servidores y dispositivos especiales.
• Restricción de herramientas de ejecución cuando el trabajo no las necesita.
• Registros centralizados con retención acorde al riesgo.

No permitas que una sola credencial administre correo, nube, respaldos, red y todos los equipos. La separación conserva caminos de recuperación si una identidad cae.

4. Diseña respaldos que sobrevivan al incidente

Define qué datos y configuraciones se respaldan, con qué frecuencia, por cuánto tiempo y quién vigila los fallos. Conserva copias separadas del entorno habitual y limita las credenciales capaces de borrarlas. Una unidad conectada permanentemente o un repositorio accesible con la misma cuenta puede quedar cifrado o eliminado junto con la información principal.

Prueba restauraciones de archivos, sistemas y configuraciones con regularidad. Registra el tiempo, las dependencias, los errores y el criterio de aceptación del responsable del proceso. La prueba debe responder si la empresa recupera una versión limpia y utilizable, no sólo si el software muestra un estado verde. Protege también documentación, claves y contactos necesarios para restaurar cuando el entorno normal no esté disponible.

• Alcance, frecuencia, retención y propietario del respaldo.
• Copia aislada, inmutable u offline según el riesgo.
• Credenciales de respaldo separadas y con mínimo privilegio.
• Alertas de fallos revisadas y documentadas.
• Restauraciones de prueba con validación del negocio.

5. Ensaya cómo contener, decidir y recuperar

Escribe un plan breve con responsables, suplentes, teléfonos fuera del correo corporativo, proveedores, asesoría y criterios de escalamiento. CISA recomienda identificar los sistemas afectados y aislarlos de inmediato; si varios segmentos están comprometidos, puede ser necesario contener a nivel de red. El personal debe saber a quién llamar y no improvisar borrados, reinicios o pagos.

Durante un incidente, preserva evidencia, identifica cuentas relacionadas y protege los sistemas de recuperación. No asumas que cifrado es el único impacto: puede existir extracción de datos o una intrusión previa. Coordina decisiones técnicas, legales, operativas y de comunicación. El FBI desaconseja pagar porque no garantiza recuperar datos y puede incentivar nuevos ataques; toda decisión debe evaluarse con las autoridades y asesores pertinentes.

• Aislar sistemas afectados sin destruir evidencia.
• Proteger identidades, respaldos y herramientas de administración.
• Activar alternativas para los procesos prioritarios.
• Notificar según contratos, jurisdicción y tipo de datos.
• Recuperar desde una base limpia y revisar la causa antes de reconectar.

No conectes una copia de respaldo confiable a un entorno que continúa comprometido. Contención, erradicación y validación deben preceder a la restauración.