Checklist de evaluación de la preparación ante ransomware
Una evaluación de la preparación ante ransomware responde a una pregunta: si un atacante consiguiera hoy un punto de apoyo en tu entorno, ¿sería un incidente contenido o uno que acabaría con el negocio? Los controles que deciden la respuesta son notablemente constantes en los casos reales, lo cual es una buena noticia, porque significa que la preparación se puede medir. Este es un checklist neutral respecto a los fabricantes, agrupado en seis dominios con los que puedes puntuarte, con el fallo concreto que cada control está ahí para evitar.
1. Copias de seguridad de las que de verdad has restaurado
Es el control que con más fiabilidad cambia el resultado. Los operadores de ransomware actuales buscan las copias de seguridad y las borran antes de lanzar el cifrado, así que una copia online alcanzable con las credenciales de producción ofrece poca protección frente a esta amenaza. Lo que necesitas: copias offline o inmutables (object-lock, air-gapped o en un dominio de confianza separado) y, la parte que se saltan la mayoría de las organizaciones, una prueba de restauración documentada y realizada recientemente, con un objetivo de tiempo de recuperación conocido. Una copia de seguridad de la que nunca has restaurado es una esperanza, no un control.
2. Una segmentación que limite el movimiento lateral
La mayor parte del daño del ransomware viene del movimiento lateral tras el punto de apoyo inicial: un portátil comprometido que acaba en un cifrado de todo el dominio. Las redes planas lo hacen trivial. Segmenta por nivel de confianza, restringe el tráfico este-oeste, aísla la infraestructura de copias de seguridad y los controladores de dominio, y asegúrate de que las estaciones de trabajo no pueden alcanzarse libremente entre sí. La prueba: desde un endpoint de usuario estándar, ¿cuánto del entorno es directamente alcanzable?
3. Una identidad resistente al phishing
El ransomware sigue empezando de forma abrumadora con una credencial capturada con phishing o un token retransmitido mediante un kit adversary-in-the-middle. El MFA en todos los accesos remotos y privilegiados es lo mínimo; el MFA resistente al phishing (FIDO2/passkeys) en esas cuentas elimina por completo la vía de entrada más usada. Combínalo con el mínimo privilegio para que una sola cuenta comprometida no pueda llegar a los sistemas críticos.
4. Una detección que alguien vigile de verdad
Una solución de detección y respuesta en endpoints (EDR) que no alerta a nadie no es detección. La preparación significa un EDR desplegado en endpoints y servidores, con las carencias de cobertura conocidas, y un SOC interno o un servicio gestionado que vigile y tenga capacidad para actuar fuera de horario, porque las bandas de ransomware lanzan sus ataques a propósito en fines de semana y festivos.
5. Un plan de respuesta que hayas ensayado
El peor momento para diseñar tu respuesta es durante el incidente. Un plan específico de ransomware indica quién declara el incidente, quién puede autorizar el aislamiento de producción, dónde está el runbook de restauración offline, cómo te comunicas cuando el correo y la identidad no funcionan, y cuándo y cómo intervienen el equipo legal, la aseguradora y las fuerzas de seguridad. La prueba es un ejercicio de mesa: recórrelo antes de que lo haga un atacante.
6. Mínimo privilegio e higiene de la superficie de ataque
El RDP expuesto, los servicios expuestos a internet sin parchear y las cuentas de servicio con exceso de privilegios son las vías recurrentes de acceso inicial y de escalada. Reducir los privilegios permanentes, eliminar la exposición directa a internet de los servicios de acceso remoto y mantener parcheados los sistemas perimetrales reduce tanto las vías de entrada como el radio de impacto una vez dentro.
Puntúate y después cierra la brecha más grande
Califica cada uno de los seis dominios en rojo, ámbar o verde. Lo importante no es el número, sino encontrar el dominio en rojo que decidiría tu peor día y corregirlo primero. Para la mayoría de las organizaciones son las copias de seguridad sin probar o las redes planas.
Cómo hacer una evaluación de la preparación ante ransomware, paso a paso
Hazla como un proyecto corto: delimita el alcance, compárala con una base de referencia reconocida, reúne pruebas, puntúa, ponla a prueba con un ejercicio de mesa y convierte las brechas en un plan con fechas. Una hoja de cálculo de respuestas sí/no no es por sí sola una evaluación.
- Delimita lo que más dolería. Enumera los servicios sin los que no puedes funcionar y de qué dependen: identidad (Active Directory/Entra), copias de seguridad, hipervisores y acceso remoto. El ransomware va primero a por esas dependencias compartidas.
- Elige una base de referencia para que el resultado sea defendible. Opciones habituales son la CISA #StopRansomware Guide, el perfil de ransomware del Cybersecurity Framework del NIST (NIST IR 8374) y el módulo gratuito Ransomware Readiness Assessment (RRA) del Cyber Security Evaluation Tool (CSET) de CISA. Los seis dominios anteriores encajan con los tres.
- Reúne pruebas, no opiniones. Consigue la fecha y el resultado de la última prueba de restauración, los informes de cobertura de MFA en los accesos remotos y privilegiados, el número de despliegues de EDR frente a tu inventario de activos y las reglas de firewall entre segmentos. Si nadie puede aportar la prueba, puntúa el control como no implantado.
- Puntúa cada dominio en rojo, ámbar o verde, y anota el fallo que permitiría cada elemento en rojo.
- Haz un ejercicio de mesa con un escenario realista, como servidores cifrados un sábado con el correo caído. Muestra las brechas que un checklist pasa por alto: quién decide, quién puede aislar producción y dónde está el runbook de restauración.
- Convierte las brechas en un plan de remediación con responsables y fechas, empezando por el peor riesgo, y vuelve a evaluar tras cambios importantes o al menos una vez al año.
Modela la parte financiera con la calculadora del coste de una brecha →, pon a prueba tu respuesta en la simulación de ransomware y lee cómo operan realmente las bandas de ransomware en nuestra serie sobre la economía del rescate.
Preguntas frecuentes
¿Qué es una evaluación de la preparación ante ransomware? Una revisión estructurada de tu capacidad para prevenir, detectar, contener y recuperarte del ransomware, recorriendo los controles concretos (copias de seguridad, segmentación, identidad, detección, respuesta, privilegios) y encontrando cuáles faltan o no se han probado.
¿Cuál es el control más importante? Las copias de seguridad offline o inmutables con restauraciones probadas: los atacantes destruyen las copias alcanzables antes de cifrar, así que una copia online no protege frente a esta amenaza.
¿Cada cuánto debemos evaluar? Al menos una vez al año y tras cualquier cambio importante; el ejercicio de más valor es un ejercicio de mesa completo.
¿Sustituye el seguro a la preparación? No: las aseguradoras exigen estos mismos controles, y si son débiles suben las primas o se anulan los siniestros.
Preguntas frecuentes
¿Existe una herramienta gratuita de evaluación de la preparación ante ransomware?
Sí. El Cyber Security Evaluation Tool (CSET) de CISA incluye un módulo gratuito, el Ransomware Readiness Assessment (RRA). El Ransomware Readiness Scorecard de PlayCISO puntúa el mismo tipo de controles en tu navegador; es una herramienta Pro (con una cuenta gratuita tienes 3 usos de prueba). En cualquier caso, basa las puntuaciones en pruebas, como los resultados de las pruebas de restauración y la cobertura de MFA, y no en respuestas autodeclaradas.
¿Qué es una evaluación de la preparación ante ransomware?
Es una revisión estructurada de lo bien que una organización puede prevenir, detectar, contener y recuperarse de un ataque de ransomware. En lugar de una puntuación única, una evaluación útil recorre los controles concretos que determinan el resultado en los incidentes reales (copias de seguridad, segmentación, identidad, detección, planificación de la respuesta y privilegios) e identifica cuáles faltan, no se han probado o solo están desplegados en parte.
¿Cuál es el control contra el ransomware más importante?
Las copias de seguridad offline o inmutables con restauraciones probadas. Casi todos los manuales de ransomware intentan ahora encontrar y destruir las copias de seguridad antes de lanzar el cifrado, así que las copias que están online y son alcanzables con las mismas credenciales que producción no son copias de seguridad reales frente a esta amenaza. El control que con más fiabilidad convierte un ataque de ransomware de una crisis existencial en un contratiempo caro es una copia de seguridad de la que has restaurado de verdad, fuera del alcance del atacante.
¿Cada cuánto debemos hacer una evaluación de la preparación?
Al menos una vez al año, y de nuevo tras cualquier cambio importante: una fusión, una gran migración a la nube, un nuevo método de acceso remoto o un incidente que estuvo a punto de ocurrir. El ejercicio de más valor por sí solo es un ejercicio de mesa que recorra toda la respuesta, porque saca a la luz las brechas que un checklist pasa por alto: quién declara el incidente, quién puede autorizar el aislamiento de producción, si alguien tiene el runbook de restauración de las copias de seguridad y cómo funcionas si el correo y la identidad están caídos.
¿Sustituye el ciberseguro a la preparación?
No. Las aseguradoras exigen cada vez más los mismos controles que revisa una evaluación de la preparación (MFA, EDR, copias de seguridad probadas, segmentación) como condición de la cobertura, y si los controles son débiles suben las primas o se anulan los siniestros. La preparación y el seguro son complementarios: la evaluación reduce tanto la probabilidad como el coste, que es justo lo que hace asequible la cobertura.