Ransomware y continuidad: copias, restauración, brechas y comunicación (RGPD)

Ransomware: cuando el problema no es solo “seguridad”, sino continuidad

El ransomware es uno de los incidentes más destructivos para una pyme porque afecta directamente a la disponibilidad y puede paralizar operaciones: facturación, atención al cliente, producción, proveedores y cobros. En muchos casos no solo cifra datos, sino que también exfiltra información para extorsionar (doble extorsión). En términos RGPD, esto es clave: la seguridad no es solo confidencialidad; también incluye disponibilidad y resiliencia (art. 32 RGPD). Además, si hay datos personales afectados, puede existir una brecha que obligue a evaluar notificación a la autoridad (art. 33) y, en determinados casos, comunicación a las personas (art. 34).

Beneficios de prepararse antes (lo que separa crisis de respuesta)

La diferencia entre un incidente “gestionable” y un desastre suele estar en dos cosas: copias verificadas y procedimiento. No basta con “tener backup”. El art. 32 RGPD menciona expresamente la capacidad de restaurar disponibilidad y acceso a los datos personales de forma rápida tras un incidente. Eso implica:

• Copias desconectadas o protegidas contra cifrado/borrado malicioso.
• Pruebas periódicas de restauración (si no se prueba, no existe).
• Priorización: qué se recupera primero y en qué tiempos.
• Roles y decisiones: quién contiene, quién autoriza restauración, quién comunica.

Riesgos típicos (privacidad y vulnerabilidad)

Privacidad

1. Exfiltración previa al cifrado: datos personales robados y publicados o vendidos.
2. Falta de evaluación del alcance: no saber qué datos están comprometidos alarga el riesgo para las personas.
3. Comunicación incorrecta: informar de más (exposición) o de menos (indefensión).
4. Conservación descontrolada: si se guardan datos innecesarios, la brecha impacta más.

Seguridad

1. Copias que se cifran: backups conectados a la misma red.
2. Credenciales privilegiadas comprometidas: sin MFA o con contraseñas reutilizadas.
3. Red plana: facilita movimiento lateral y “cifrado total”.
4. Parches pendientes: vulnerabilidades conocidas sin corregir.
5. Proveedor o acceso remoto inseguro: entrada por RDP/VPN mal protegidas.

RGPD: qué exige y qué hay que documentar

Art. 32 RGPD (medidas de seguridad)
Exige medidas apropiadas al riesgo, y menciona explícitamente:

• capacidad de garantizar disponibilidad y resiliencia,
• capacidad de restaurar datos de forma rápida,
• procesos de verificación y evaluación periódica.

Brechas (art. 33 y 34 RGPD)
Cuando hay un incidente con datos personales, debes:

• Evaluar si hay riesgo para derechos y libertades.
• Documentar lo ocurrido y las decisiones.
• Si procede, notificar a la autoridad sin dilación indebida; el marco general habla de 72 horas desde que se tiene conocimiento (art. 33).
• Si es probable que exista alto riesgo, comunicar a las personas con información útil (art. 34).

Lo decisivo es la evaluación: tipo de datos, volumen, posibilidad real de uso indebido, evidencia de exfiltración, y medidas mitigadoras (cifrado previo, revocación de accesos, restauración controlada, bloqueo de vectores).

Seguridad vs privacidad en plena crisis: rapidez sin improvisación

El error habitual es restaurar rápido sin cerrar la puerta de entrada. Eso genera reinfección y destruye evidencias. La privacidad exige evaluar impacto y comunicar lo necesario, pero también exige evitar exposición adicional. Un procedimiento equilibrado suele seguir esta lógica:

1. Contención: aislar sistemas, revocar credenciales, cortar accesos externos sospechosos.
2. Evidencia razonable: preservar logs e indicadores clave sin paralizar.
3. Alcance: qué sistemas y qué datos personales se han visto afectados.
4. Decisiones RGPD: documentar evaluación de riesgo y determinar si procede notificación/comunicación.
5. Recuperación segura: restaurar desde copias verificadas y revisadas.

¿Es obligatoria una EIPD?

El ransomware no “activa” EIPD automáticamente. Pero puede evidenciar que el tratamiento era de alto riesgo o que las medidas eran insuficientes. Si el tratamiento ya era de alto riesgo, es razonable revisar o actualizar la EIPD. Si no existía EIPD y se identifican factores de alto riesgo (gran escala, datos sensibles, monitorización, impacto significativo), puede ser necesario realizarla tras el incidente para corregir diseño.

Medidas proporcionales y realistas para pymes

Antes

• MFA en correo, cloud, CRM y accesos remotos.
• Gestión de parches y hardening básico.
• Segmentación mínima (servidores críticos separados).
• Copias 3-2-1 con pruebas de restauración.
• Formación anti-phishing y procedimiento de verificación.

Durante

• Aislamiento y revocación de accesos.
• Comunicación interna clara (quién hace qué).
• Registro de decisiones y acciones.
• Evaluación RGPD del riesgo y decisión de notificación/comunicación si procede.

Después

• Restauración segura.
• Rotación completa de credenciales.
• Revisión de permisos (IAM).
• Lecciones aprendidas y mejora de continuidad.

Límites de la información

Cada incidente es distinto. La decisión de notificar/comunicar depende del caso concreto y de evidencias técnicas. En incidentes con datos sensibles o gran escala, es recomendable análisis jurídico-técnico específico.