Cómo hacer una simulación de ransomware en la oficina
Una hora para poner a prueba las decisiones, no la tecnología: quién manda, a quién se llama y cómo sigue funcionando la empresa durante un ataque.
Cuando una pequeña empresa piensa en el ransomware, suele pensar en las copias de seguridad, y con razón. Pero cuando llega un ataque, las primeras horas se van en decisiones, no en tecnología: quién manda, a quién se llama, si se apaga todo, qué se dice al personal y a los clientes, y cómo se sigue trabajando. Un ejercicio de simulación de mesa (lo que en inglés se llama "tabletop exercise") sirve para tomar esas decisiones una vez, con calma y alrededor de una mesa, y no por primera vez en plena crisis.
No hace falta ningún programa especial ni conocimientos técnicos en la sala. Basta con una hora, entre cuatro y seis personas y un escenario por escrito. Esta guía explica cómo organizarlo en una oficina pequeña.
Qué es y qué no es
Es una conversación. Alguien lee un escenario por etapas y el grupo comenta qué haría en cada una. No se apaga nada ni se toca ningún sistema. Es distinto de un simulacro de restauración, que demuestra que las copias funcionan técnicamente. La simulación de mesa pone a prueba a las personas y el plan que las rodea. Hacen falta las dos cosas.
Quién debe participar
- El propietario o quien pueda tomar decisiones de gasto y de negocio.
- La persona responsable de la oficina, o quien mejor conozca el día a día.
- Quien se ocupe de la informática, sea personal propio o un proveedor externo.
- Alguien de contabilidad o administración, porque los pagos y las nóminas suelen ser la primera preocupación.
- Si es posible, alguien que trate con los clientes, para pensar qué se les dirá.
Elija a una persona que dirija la sesión y a otra que tome notas. Quien dirige debe mantener la conversación en marcha y hacer preguntas incómodas, no dar las respuestas.
Un escenario que puede utilizar
Lea cada etapa en voz alta y dé al grupo entre cinco y diez minutos para las preguntas antes de pasar a la siguiente.
Etapa 1: lunes, 8:15 de la mañana
La primera persona en llegar ve que los archivos de la unidad compartida tienen extensiones extrañas y no se abren. En cada carpeta hay un archivo de texto que dice que los datos han sido cifrados y robados, con una dirección de contacto.
- ¿A quién se llama primero? ¿Tiene alguien apuntado su móvil en un lugar que no dependa de la red de la oficina?
- ¿Quién tiene autoridad para decir "desconecten todo"? ¿Alguien sabe cómo hacerlo?
- ¿Qué hacen las personas que llegan a las 8:30?
Etapa 2: 10:00 de la mañana
Su soporte informático confirma que varios equipos y el servidor de archivos están afectados. El correo de Microsoft 365 parece funcionar. Un cliente llama para preguntar por qué no le funciona el enlace de una factura.
- ¿Tiene un seguro cibernético? ¿Quién tiene el número de póliza y el teléfono de incidentes de la aseguradora? Muchas pólizas esperan que se les llame antes de contratar ayuda externa por su cuenta.
- ¿Quién habla con los clientes y qué puede decirles?
- ¿Puede el personal usar el correo y los teléfonos con seguridad, o hay que suponer que las cuentas también están comprometidas?
Etapa 3: 2:00 de la tarde
Las copias existen, pero la última copia limpia es del viernes por la noche y restaurarlo todo llevará al menos dos días.
- ¿Qué debe volver primero: la contabilidad, la agenda, el proyecto de un cliente concreto?
- ¿Cómo funciona el negocio con papel o desde los teléfonos mientras tanto?
- ¿Alguien ha denunciado el ataque? El FBI pide a las víctimas que lo comuniquen a su Centro de Denuncias de Delitos en Internet (IC3) en ic3.gov, se pague o no el rescate.
Etapa 4: miércoles
Los atacantes escriben y amenazan con publicar datos de clientes si no se les paga.
- ¿Quién decide la respuesta y quién le asesora: la aseguradora, un abogado, las autoridades?
- ¿Guarda datos personales que podrían obligarle a notificar según la ley de su estado? ¿Quién lo averiguaría?
Lo que suele salir a la luz
Lo normal es que el ejercicio revele carencias más que respuestas. Por ejemplo: el único número de emergencia del proveedor informático está en un correo que nadie puede abrir; nadie sabe dónde está la póliza del seguro; la única persona que conoce el sistema de copias está de vacaciones esa semana; no hay una forma acordada de avisar a todo el personal si el correo no funciona. Cada carencia cuesta poco de resolver una vez que está por escrito.
Después de la sesión
- Convierta las notas en una lista de tareas de una página, cada una con un responsable y una fecha.
- Prepare una hoja de contactos: soporte informático, teléfono y número de póliza del seguro, banco, proveedores clave, un abogado e IC3. Guarde copias impresas fuera de la red, en la oficina y en casa.
- Acuerde quién dirige durante un incidente y quién le sustituye si no está.
- Corrija los problemas técnicos que haya revelado la conversación, como copias que no están separadas de la red o cuentas sin autenticación multifactor.
- Repita el ejercicio una vez al año, o tras un cambio importante como un nuevo proveedor de TI o una mudanza, con un escenario distinto.
Si prefiere material ya preparado, CISA publica de forma gratuita paquetes de ejercicios de mesa (Tabletop Exercise Packages), con escenarios de ransomware y guías para quien dirige la sesión, que una pequeña empresa puede adaptar.
Cómo podemos ayudarle
El ejercicio solo merece la pena si luego se corrigen las carencias que descubre. Nuestro servicio de protección contra ransomware abarca copias de seguridad, seguridad de las cuentas y supervisión, y nuestra guía sobre cómo recuperarse de un ransomware explica qué ocurre después de un ataque. Para comentar lo que ha descubierto en su ejercicio, llame al (213) 986-4855.