Ransomware: cuando el problema no es solo “seguridad”, sino continuidad
El ransomware es uno de los incidentes más destructivos para una pyme porque afecta directamente a la disponibilidad y puede paralizar operaciones: facturación, atención al cliente, producción, proveedores y cobros. En muchos casos no solo cifra datos, sino que también exfiltra información para extorsionar (doble extorsión). En términos RGPD, esto es clave: la seguridad no es solo confidencialidad; también incluye disponibilidad y resiliencia (art. 32 RGPD). Además, si hay datos personales afectados, puede existir una brecha que obligue a evaluar notificación a la autoridad (art. 33) y, en determinados casos, comunicación a las personas (art. 34).
Beneficios de prepararse antes (lo que separa crisis de respuesta)
La diferencia entre un incidente “gestionable” y un desastre suele estar en dos cosas: copias verificadas y procedimiento. No basta con “tener backup”. El art. 32 RGPD menciona expresamente la capacidad de restaurar disponibilidad y acceso a los datos personales de forma rápida tras un incidente. Eso implica:
- Copias desconectadas o protegidas contra cifrado/borrado malicioso.
- Pruebas periódicas de restauración (si no se prueba, no existe).
- Priorización: qué se recupera primero y en qué tiempos.
- Roles y decisiones: quién contiene, quién autoriza restauración, quién comunica.
Riesgos típicos (privacidad y vulnerabilidad)
Privacidad
- Exfiltración previa al cifrado: datos personales robados y publicados o vendidos.
- Falta de evaluación del alcance: no saber qué datos están comprometidos alarga el riesgo para las personas.
- Comunicación incorrecta: informar de más (exposición) o de menos (indefensión).
- Conservación descontrolada: si se guardan datos innecesarios, la brecha impacta más.
Seguridad
- Copias que se cifran: backups conectados a la misma red.
- Credenciales privilegiadas comprometidas: sin MFA o con contraseñas reutilizadas.
- Red plana: facilita movimiento lateral y “cifrado total”.
- Parches pendientes: vulnerabilidades conocidas sin corregir.
- Proveedor o acceso remoto inseguro: entrada por RDP/VPN mal protegidas.
RGPD: qué exige y qué hay que documentar
Art. 32 RGPD (medidas de seguridad)
Exige medidas apropiadas al riesgo, y menciona explícitamente:
- capacidad de garantizar disponibilidad y resiliencia,
- capacidad de restaurar datos de forma rápida,
- procesos de verificación y evaluación periódica.
Brechas (art. 33 y 34 RGPD)
Cuando hay un incidente con datos personales, debes:
- Evaluar si hay riesgo para derechos y libertades.
- Documentar lo ocurrido y las decisiones.
- Si procede, notificar a la autoridad sin dilación indebida; el marco general habla de 72 horas desde que se tiene conocimiento (art. 33).
- Si es probable que exista alto riesgo, comunicar a las personas con información útil (art. 34).
Lo decisivo es la evaluación: tipo de datos, volumen, posibilidad real de uso indebido, evidencia de exfiltración, y medidas mitigadoras (cifrado previo, revocación de accesos, restauración controlada, bloqueo de vectores).
Seguridad vs privacidad en plena crisis: rapidez sin improvisación
El error habitual es restaurar rápido sin cerrar la puerta de entrada. Eso genera reinfección y destruye evidencias. La privacidad exige evaluar impacto y comunicar lo necesario, pero también exige evitar exposición adicional. Un procedimiento equilibrado suele seguir esta lógica:
- Contención: aislar sistemas, revocar credenciales, cortar accesos externos sospechosos.
- Evidencia razonable: preservar logs e indicadores clave sin paralizar.
- Alcance: qué sistemas y qué datos personales se han visto afectados.
- Decisiones RGPD: documentar evaluación de riesgo y determinar si procede notificación/comunicación.
- Recuperación segura: restaurar desde copias verificadas y revisadas.
¿Es obligatoria una EIPD?
El ransomware no “activa” EIPD automáticamente. Pero puede evidenciar que el tratamiento era de alto riesgo o que las medidas eran insuficientes. Si el tratamiento ya era de alto riesgo, es razonable revisar o actualizar la EIPD. Si no existía EIPD y se identifican factores de alto riesgo (gran escala, datos sensibles, monitorización, impacto significativo), puede ser necesario realizarla tras el incidente para corregir diseño.
Medidas proporcionales y realistas para pymes
Antes
- MFA en correo, cloud, CRM y accesos remotos.
- Gestión de parches y hardening básico.
- Segmentación mínima (servidores críticos separados).
- Copias 3-2-1 con pruebas de restauración.
- Formación anti-phishing y procedimiento de verificación.
Durante
- Aislamiento y revocación de accesos.
- Comunicación interna clara (quién hace qué).
- Registro de decisiones y acciones.
- Evaluación RGPD del riesgo y decisión de notificación/comunicación si procede.
Después
- Restauración segura.
- Rotación completa de credenciales.
- Revisión de permisos (IAM).
- Lecciones aprendidas y mejora de continuidad.
Límites de la información
Cada incidente es distinto. La decisión de notificar/comunicar depende del caso concreto y de evidencias técnicas. En incidentes con datos sensibles o gran escala, es recomendable análisis jurídico-técnico específico.
