Por Octavian Tanase, Chief Product Officer (CPO), Hitachi Vantara
Si se pregunta a cinco líderes de una misma empresa si están preparados para enfrentar un posible ataque de ransomware, se obtendrán cinco respuestas diferentes.
Aunque todas pueden ser correctas desde la perspectiva de sus respectivas áreas, con frecuencia no están alineadas entre sí. La verdadera prueba para las organizaciones no es evitar un ataque, sino garantizar la recuperación.
Muchas empresas han incorporado múltiples capas de defensas tecnológicas, como herramientas de detección y respaldos inmutables. Sin embargo, estas capacidades representan solo una parte de una estrategia eficaz de ciberresiliencia.
Dado que los ataques de ransomware también tienen como objetivo los entornos de respaldo y recuperación ante desastres, las organizaciones deben integrar la protección, la detección temprana y la recuperación validada para minimizar las interrupciones del negocio.
Las organizaciones también deben ponerse de acuerdo sobre qué significa lograr una recuperación exitosa, qué sistemas y datos deben tener prioridad y quién es responsable de tomar las decisiones críticas.
El desafío consiste en comprender cómo se relacionan estas responsabilidades y garantizar que los equipos estén preparados para actuar de manera coordinada cuando ocurra un incidente. Desde Hitachi Vantara presentamos un esquema de abordaje.
La estrategia comienza con la protección y la detección
Una sólida defensa contra el ransomware comienza por proteger los datos críticos, incluidos los entornos de respaldo y recuperación ante desastres que pueden convertirse en objetivos de los atacantes. Sin embargo, según el estudio 2027 Global Digital Trust Insights de PwC, solo el 49 % de las organizaciones encuestadas ha implementado plenamente políticas de clasificación de datos en toda la organización.
Las copias inmutables y aisladas ofrecen importantes medidas de protección, pero las organizaciones también deben clasificar sus datos para establecer requisitos de protección según su criticidad para el negocio y comprobar que esas copias puedan restaurarse de manera confiable.
La protección por sí sola no puede eliminar todas las amenazas. Las capacidades de monitoreo AIOps y detección de anomalías presentes en las plataformas de infraestructura modernas pueden ayudar a identificar actividades inusuales en las cargas de trabajo y alertar sobre posibles indicios de corrupción de datos. Esto brinda a los equipos la oportunidad de investigar los problemas antes de que se agraven.
Sin embargo, la tecnología debe estar respaldada por procesos claros para evaluar las alertas, escalar las posibles amenazas y coordinar una respuesta oportuna. La protección y la detección deben ser prioridades, pero las organizaciones también necesitan prepararse para lo que sucederá si los atacantes logran superar sus defensas.
El camino hacia la recuperación
La recuperación suele ser mucho más difícil de lo que los ejecutivos imaginan. Según un informe reciente, cerca del 90 % de las organizaciones confía en su capacidad para recuperarse de un incidente cibernético, pero solo el 28 % de las víctimas de ransomware afirma haber recuperado por completo todos los datos afectados. Ante ataques potenciados por inteligencia artificial, las organizaciones deben estar preparadas para enfrentar amenazas cada vez más sofisticadas.
Llevar estas capacidades a la práctica requiere coordinación entre al menos cinco grupos clave de partes interesadas, cada uno de los cuales tiene una definición diferente de lo que significa estar «preparado».
Para los equipos de seguridad, estar preparados significa contar con una cobertura de detección adecuada, ya que es necesario identificar las amenazas antes de poder recuperarse de ellas. Sin embargo, detectar un ataque no significa necesariamente que una organización esté preparada para recuperarse.
Para los equipos de infraestructura, la preparación se define por la frecuencia de los respaldos, ya que contar con puntos de recuperación más frecuentes puede ayudar a reducir la posible pérdida de datos. Sin embargo, las copias frecuentes también pueden contener datos corruptos, y la frecuencia no determina cuál de ellas está limpia ni cuánto tiempo tomará restaurarla.
Para los equipos de auditoría, estar «preparados» significa contar con documentación de cumplimiento normativo para los organismos reguladores. Estos documentos suelen describir el plan, pero no necesariamente demuestran que los procedimientos de recuperación funcionarán bajo presión.
Para el área de Finanzas, la preparación está relacionada con los costos. Si la capacidad de reserva y las copias aisladas permanecen sin utilizar, quedan sujetas a un mayor escrutinio. Sin embargo, un plan diseñado para minimizar los costos puede hacer que la recuperación tarde más de lo que el negocio está en condiciones de tolerar.
Para los equipos directivos, la preparación está vinculada con la tolerancia al riesgo. En última instancia, los líderes deciden cuánto tiempo de inactividad o cuánta pérdida de datos puede aceptar una empresa. Sin embargo, esa respuesta —por ejemplo, «aproximadamente un día»— muchas veces no se traduce en configuraciones concretas de respaldo ni en objetivos de recuperación que hayan sido debidamente probados.
Dónde se estanca la recuperación
Cada equipo puede cumplir con su propia definición de estar preparado y, aun así, pasar por alto las brechas que existen entre las distintas áreas. Con demasiada frecuencia, la primera conversación realmente significativa entre los equipos ocurre durante un incidente.
Seguridad identifica qué elementos fueron afectados, Infraestructura determina qué copia está libre de corrupción, Cumplimiento documenta lo sucedido, Finanzas aprueba los costos y la dirección autoriza los siguientes pasos.
Los equipos que no han practicado la toma conjunta de estas decisiones pueden verse obligados a improvisar durante un incidente, lo que podría retrasar la recuperación. Aunque muchas organizaciones prueban la restauración de datos, son menos las que involucran a Auditoría, Finanzas y la alta dirección para determinar cuándo los sistemas están realmente preparados para volver a producción.
Según el informe Global Cybersecurity Outlook 2026 del Foro Económico Mundial, el 44 % de las organizaciones altamente resilientes realiza simulaciones de incidentes cibernéticos con sus socios de su ecosistema, frente a solo el 16 % de las organizaciones consideradas insuficientemente resilientes.
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) recomienda que las organizaciones realicen ejercicios para poner a prueba sus planes de respuesta a incidentes y comunicaciones.
Asimismo, la Ley de Resiliencia Operativa Digital de Europa (DORA) exige que las entidades financieras comprendidas en su ámbito de aplicación prueben, al menos una vez al año, sus planes de continuidad operativa, respuesta y recuperación de las TIC para los sistemas pertinentes.
¿Quién decide cuándo un sistema se ha recuperado y quién autoriza su regreso a producción? Con frecuencia, los equipos deben tomar estas decisiones durante un incidente y bajo una enorme presión. Por eso, deberían realizar simulacros en toda la organización para identificar y resolver posibles problemas antes de que ocurra un incidente. Al hacerlo, podrían descubrir que sus respectivas definiciones de estar «preparados» no coinciden.
¿Quién es responsable de la preparación?
Por lo general, recomiendo que el CISO (director de Seguridad de la Información) y el CIO (director de Sistemas de Información) asuman conjuntamente la responsabilidad de definir por escrito un concepto compartido de preparación que abarque la protección, la detección y la recuperación. Ambos deben establecerlo, mantenerlo actualizado y tenerlo preparado antes de que ocurra un incidente.
Una verdadera preparación frente a las ciberamenazas requiere que las personas, los procesos y la tecnología trabajen de manera coordinada para proteger los datos críticos, detectar amenazas emergentes y recuperarse de los incidentes. El objetivo final es mantener la continuidad del negocio y minimizar las interrupciones cuando se produzca un ataque.
