Empezar por un proceso del negocio
Elija una actividad que necesite recuperar primero: tramitar pedidos, consultar citas o enviar mercancías. Describa las funciones mínimas necesarias. Restaurar un archivo no demuestra todavía que el personal pueda realizar ese trabajo.
El perfil sobre ransomware de NIST, publicado en junio de 2026, relaciona la protección técnica con las responsabilidades y la planificación de la recuperación. Un comienzo práctico es decidir conjuntamente entre el área de negocio y TI qué proceso tiene prioridad y cómo comprobarán que vuelve a funcionar. [1]
Definir dos objetivos distintos
El tiempo de interrupción tolerable determina cuándo debe funcionar de nuevo el proceso elegido. La pérdida de datos tolerable determina cuánto pueden retroceder en el tiempo los datos recuperados. Estas decisiones fijan el objetivo de recuperación y las necesidades de copia. Al principio son requisitos, no capacidades ya medidas.
Anote también cuánto tiempo puede mantenerse un procedimiento alternativo y qué trabajo habría que repetir. Evalúe la actividad perdida, las tareas manuales y el esfuerzo operativo adicional sin contar dos veces el mismo coste. Los datos de su negocio son más útiles que una media general de pérdidas por ciberataques.
Conservar la copia y el acceso a ella
El NCSC advierte de que los atacantes pueden destruir las copias. Ni el almacenamiento en la nube ni un dispositivo local están protegidos automáticamente. Compruebe los accesos separados, los plazos de conservación protegidos y las copias que siguen disponibles. [2]
- ¿Qué copia sigue siendo utilizable si falla la administración habitual?
- ¿Quién puede borrar copias o reducir su conservación?
- ¿Están disponibles los accesos de restauración y las claves de descifrado durante un incidente?
- ¿Qué aplicaciones, configuraciones y licencias se necesitan además?
Restaurar un proceso completo
Organice con el equipo de TI una prueba controlada en un entorno separado. Acuerde previamente los datos, los responsables y las condiciones de parada. Utilice datos de prueba adecuados o proteja debidamente los datos reales necesarios. La actividad diaria no debe convertirse en un experimento improvisado.
Mida la interrupción total desde el comienzo del incidente simulado hasta que el responsable confirme que el proceso vuelve a funcionar, y registre por separado la duración de la restauración técnica. Así se incluyen la detección, las decisiones y la disponibilidad de las personas y los accesos necesarios. Compruebe el proceso acordado, incluidos el inicio de sesión y las conexiones necesarias. Documente el estado de los datos y los cambios que faltan. NIST recomienda probar la estrategia de recuperación y verificar la integridad de las copias antes de restaurar. [1]
Convertir el resultado en una decisión
El registro debe permitir aceptar el resultado o acordar una corrección concreta. Proponemos una fila por proceso: objetivo acordado, tiempo medido, estado de los datos, dependencias pendientes, responsable y fecha de la siguiente prueba.
Distinga el tiempo de transferencia del tiempo necesario para volver a trabajar. Si un acceso que falta detiene la prueba, incluya la demora en la medición. Revise el resultado tras cambios importantes en aplicaciones, permisos o copias. Conserve los resultados anteriores para distinguir mejoras de obstáculos recurrentes.
Un ataque activo exige otro procedimiento
Durante un ataque, el equipo de respuesta a incidentes coordina la contención y la recuperación. El NCSC recomienda conectar las copias solo a dispositivos limpios y comprobar si contienen malware antes de restaurar. Una restauración correcta no revierte un robo de datos anterior. [3]
Cómo encaja una evaluación externa
Cyberkern Level 1 examina la superficie de ataque externa y las configuraciones visibles acordadas para priorizar medidas en sistemas accesibles públicamente. La utilidad de las copias internas y la recuperación operativa requieren otros accesos y pruebas prácticas por los equipos responsables. Los resultados responden a preguntas diferentes y pueden alimentar el mismo plan de medidas.
Lecturas relacionadas
Fuentes y lecturas
Publicado el:
Fuentes primarias verificadas el 02.10.2026.
Las fuentes y los límites se indican en el artículo.