La aseguradora pide un 'plan de recuperación ante ransomware' para renovar la póliza — ¿qué debe incluir?

No empiecen descargando plantillas genéricas de 50 páginas de internet; los analistas de riesgo de las aseguradoras descartan al instante esos textos de copiar y pegar. En los próximos dos días preparen un documento claro de 4 páginas adaptado al funcionamiento real de su empresa y levanten el respaldo que tomaron anoche en una máquina virtual vacía a modo de prueba y agreguen el log.

Mucho cuidado al escribir en el plan el respaldo al disco externo de la oficina. Si ese disco está siempre conectado al servidor, el ransomware también lo cifra al instante. En tu plan debes indicar claramente que el disco se saca físicamente después de terminar el proceso, se guarda en una caja fuerte con llave y que en los respaldos en la nube está activada la función de inmutabilidad.

Las 3 tablas más críticas q debes añadir a tu documento son: 1) Inventario de sistemas por orden de criticidad (primero contabilidad, luego stock, por último archivo), 2) Lista de contactos externos a los q llamar en caso de incidente (línea de siniestros del seguro, empresa de informática forense, asesor legal), 3) Pasos de control de limpieza y verificación antes de volver a conectar los sistemas a internet.

El mes pasado pasamos por un proceso similar para nuestra empresa de producción en Nueva York. También nos pidieron los mismos documentos. Preparamos un escenario de dos páginas y debajo añadimos 14 páginas de logs reales de pruebas de restauración. La aseguradora renovó la póliza de 4.200 dólares en las mismas condiciones sin poner ninguna pega.

¿Has indicado en el plan cómo se protegen vuestros backups en la nube? Si roban la contraseña de la cuenta de la nube, el atacante tb puede borrar los backups de ahí. ¿Está activado en tu panel de backup un doble factor de autenticación independiente y un bloqueo de protección contra borrado?

imprime sí o sí el resultado del plan q vayas a preparar y guárdalo en físico en la mesa del director general y en tu casa. en fin cuando los servidores se bloquean, no poder acceder desde el ordenador de la empresa a ese pedazo de plan de recuperación q preparaste es la comedia más habitual lamentablemente.

La verdadera razón por la q las aseguradoras complican estos cuestionarios no es protegerte, sino evitar pagar la indemnización por daños alegando q no cumpliste los procedimientos en caso de un posible ataque. Por eso asegúrate de q cada frase q escribas en el plan se aplique de verdad en tu empresa; no escribas en el plan nada q no hayas hecho.

No te asustes, para un equipo de 22 personas nadie espera de ti un escenario de catástrofe corporativo de cientos de páginas. Un orden de recuperación claro, un esquema q demuestre q los backups están seguros y un registro de prueba exitoso serán más q suficientes para renovar tu póliza.

Gracias por escribir esto, es lo correcto. Una copia de seguridad no probada no es una copia de seguridad.

Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla. Espero que le sea útil.

Estoy siguiendo esto.

Dejo una advertencia. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde. También me gustaría saber si alguien lo hace de otra manera.

En su momento, nosotros también nos atascamos ahí. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Eso es todo, disculpa si me he extendido demasiado.

No sabía eso.

Dejo una advertencia. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo. También me gustaría saber si alguien lo hace de otra manera.

Estoy de acuerdo. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

¿Creen que esto funciona a cualquier escala? no confíes en una sola medida; ve capa por capa.

corrijanme si me equivoco.

Llevé mucho tiempo con este asunto. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Separemos los conceptos, se están confundiendo. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

El tiempo que tardas en detectar un problema determina directamente su coste. Si escribís el resultado aquí, también servirá de ayuda a otros.