La forma en que una organización se recupera de un ciberataque puede marcar la diferencia entre una interrupción mínima y la quiebra. Si bien una recuperación eficaz puede llevar tiempo, los líderes empresariales se centran cada vez más en la rapidez.
Datos recientes muestran que los directores ejecutivos exigen enormemente a los profesionales de seguridad que puedan restablecer la operatividad rápidamente. Según un estudio de Cohesity, dos tercios de los directores ejecutivos esperan ser notificados de un ciberataque en media hora. El 19 % de los líderes empresariales cree que deberían ser alertados de una brecha de seguridad en cinco minutos. Alrededor del 38 % de los directores ejecutivos esperan que las operaciones básicas se reanuden en un día, y el 14 % afirma que esto debería ocurrir en tan solo una hora.
Una reciente encuesta sobre brechas de ciberseguridad muestra que la mayoría de las empresas pueden recuperarse en 24 horas. Si eso es posible, las empresas deben reforzar sus defensas para volver a estar operativas rápidamente.
Cronogramas de ataque
Tras un ciberataque, algunas empresas se ven sumidas en el caos, los sistemas se caen, las herramientas habituales dejan de funcionar e incluso pueden quedar aisladas de internet, sSin embargo, en este entorno complejo y de alto riesgo, los expertos afirman que las primeras horas tras descubrir un incidente son cruciales. La forma en que las empresas reaccionan ante una brecha de seguridad en las primeras horas es fundamental.
Durante un ataque de ransomware en curso, por ejemplo, es necesario decidir rápidamente si desconectar la red y apagar los sistemas. En la práctica, esto significa que los equipos que supervisan la red necesitan una autorización previa clara para apagarla si sospechan de un ataque. También significa que debe existir un plan para la recuperación una vez que el sistema haya sido desactivado, tanto para falsos positivos como para ataques confirmados.
Entre los pasos necesarios, las víctimas deben determinar rápidamente qué ha ocurrido, evaluar si el atacante sigue activo e identificar los sistemas afectados. Posteriormente, deben definir las medidas necesarias para minimizar el impacto del ataque. Las prioridades inmediatas suelen incluir contener el ataque e involucrar a las partes interesadas clave.
La rapidez es importante, pero actuar con información incompleta o inexacta, puede ser tan perjudicial como actuar con demasiada lentitud; reaccionar de forma exagerada ante un falso positivo, desconectar sistemas de manera que dificulte la recuperación o causar interrupciones innecesarias en el negocio «puede resultar contraproducente.
Comprender el alcance
Algunas medidas pueden adoptarse inmediatamente después de un ataque, como la contención inicial. Si bien esto suele comenzar en las primeras horas, comprender el alcance total de un incidente puede llevar días o incluso semanas.
Hay organizaciones que aparentemente volvieron a estar operativas en cuestión de horas, pero a un alto precio, luego sufren el mismo ataque días después porque las copias de seguridad comprometidas dejaron la vulnerabilidad y la puerta trasera del atacante directamente en funcionamiento.
El objetivo debe ser que los servicios esenciales funcionen en un entorno seguro y poder demostrarlo, de lo contrario, los sistemas podrían verse comprometidos rápidamente de nuevo y, si no se puede demostrar un entorno seguro, los socios no permitirán la reactivación de las interfaces vitales.
Sin embargo, una respuesta lenta también puede ser perjudicial, el impacto dependerá de la fase del ataque; en las primeras etapas, cualquier retraso le da al atacante más oportunidades de lograr sus objetivos, es decir pueden acceder a más sistemas, robar datos adicionales, desplegar ransomware o establecer una persistencia que dificulte considerablemente su posterior erradicación.
Las respuestas lentas también aumentan las interrupciones en las operaciones comerciales, los sistemas que podrían haberse aislado a tiempo pueden requerir una reconstrucción completa; los costos de recuperación también pueden dispararse y las obligaciones regulatorias se volverán más complejas si se comprometen datos adicionales.
En las últimas etapas de un incidente, o después de que el adversario ya haya llevado a cabo sus acciones contra el objetivo, la atención se centra en restablecer las operaciones de forma segura y comprender el alcance total del impacto, en lugar de prevenir la intrusión y limitar los daños.
Plazos de recuperación
La presión es alta y la respuesta inicial debe ser rápida, pero los directores ejecutivos también deben ser realistas sobre la posibilidad de una recuperación demasiado rápida. El número de variables implicadas en un ataque siempre determinará la velocidad de recuperación, por ejemplo, la amenaza de la IA avanza rápidamente, por lo que un ataque técnico exitoso basado en IA tiene el potencial de causar más daño en menos tiempo.
Sin embargo, una organización que sufre interrupciones menores, como el ataque a su sitio web, generalmente puede recuperarse con relativa rapidez, si bien técnicamente se trata de un incidente cibernético, este se sitúa en el extremo menos grave de la escala. Cuanto mayor y más compleja sea la red, más grave será probablemente el incidente y más tiempo llevará volver a la normalidad.
Cumplir con el objetivo de las 24 horas exige un «rigor organizativo genuino», esto implica planes de respuesta documentados y ensayados, roles claramente asignados, plantillas de comunicación preaprobadas e infraestructura de recuperación que se prueba periódicamente y que nunca se da por sentada su eficacia.
Algunos de los aspectos básicos incluyen una higiene cibernética fundamental y garantizar que la red esté segmentada adecuadamente. También es fundamental conocer cuáles son las operaciones mínimas viables para el negocio y comprender los activos de la red.
Los responsables de seguridad de la información (CISO) deben colaborar con sus colegas para garantizar que los planes de continuidad del negocio se compartan y se verifiquen en función de la realidad de la seguridad de la información, y que se comprendan claramente las prioridades para restaurar los sistemas y servicios después de un incidente.
La recuperación tras un ciberataque es un esfuerzo de equipo, en el que el CISO desempeñará un papel fundamental.
