Muchas empresas han incorporado múltiples capas de defensas tecnológicas, como herramientas de detección y respaldos inmutables. Sin embargo, estas capacidades representan solo una parte de una estrategia eficaz de ciberresiliencia.
Una sólida defensa contra el ransomware comienza por proteger los datos críticos, incluidos los entornos de respaldo y recuperación ante desastres que pueden convertirse en objetivos de los atacantes. Sin embargo, según el estudio 2027 Global Digital Trust Insights de PwC, solo el 49 % de las organizaciones encuestadas ha implementado plenamente políticas de clasificación de datos en toda la organización.
Dado que los ataques de ransomware también tienen como objetivo los entornos de respaldo y recuperación ante desastres, las organizaciones deben integrar la protección, la detección temprana y la recuperación validada para minimizar las interrupciones del negocio.
Las organizaciones también deben ponerse de acuerdo sobre qué significa lograr una recuperación exitosa, qué sistemas y datos deben tener prioridad y quién es responsable de tomar las decisiones críticas. Octavian Tanase Chief Product Officer de Hitachi Vantara, considera que debe haber un esquema de abordaje.
La estrategia comienza con la protección y la detección
Las copias inmutables y aisladas ofrecen importantes medidas de protección, pero las organizaciones también deben clasificar sus datos para establecer requisitos de protección según su criticidad para el negocio y comprobar que esas copias pueden restaurarse de manera confiable.
La protección por sí sola no puede eliminar todas las amenazas. Las capacidades de monitoreo AIOps y detección de anomalías presentes en las plataformas de infraestructura modernas pueden ayudar a identificar actividades inusuales en las cargas de trabajo y alertar sobre posibles indicios de corrupción de datos. Esto brinda a los equipos la oportunidad de investigar los problemas antes de que se agraven.
Sin embargo, la tecnología debe estar respaldada por procesos claros para evaluar las alertas, escalar las posibles amenazas y coordinar una respuesta oportuna. La protección y la detección deben ser prioridades, pero las organizaciones también necesitan prepararse para lo que sucederá si los atacantes logran superar sus defensas.
La recuperación suele ser mucho más difícil de lo que los ejecutivos imaginan. Según un informe reciente, cerca del 90 % de las organizaciones confía en su capacidad para recuperarse de un incidente cibernético, pero solo el 28 % de las víctimas de ransomware afirma haber recuperado por completo todos los datos afectados.
Llevar estas capacidades a la práctica requiere coordinación entre al menos cinco grupos clave de partes interesadas, cada uno de los cuales tiene una definición diferente de lo que significa estar «preparado».
-Para los equipos de seguridad, estar preparados significa contar con una cobertura de detección adecuada, ya que es necesario identificar las amenazas antes de poder recuperarse de ellas. Sin embargo, detectar un ataque no significa necesariamente que una organización esté preparada para recuperarse.
-Para los equipos de infraestructura, la preparación se define por la frecuencia de los respaldos, ya que contar con puntos de recuperación más frecuentes puede ayudar a reducir la posible pérdida de datos. Sin embargo, las copias frecuentes también pueden contener datos corruptos, y la frecuencia no determina cuál de ellas está limpia ni cuánto tiempo tomará restaurarla.
-Para los equipos de auditoría, estar «preparados» significa contar con documentación de cumplimiento normativo para los organismos reguladores. Estos documentos suelen describir el plan, pero no necesariamente demuestran que los procedimientos de recuperación funcionarán bajo presión.
-Para el área de Finanzas, la preparación está relacionada con los costos. Si la capacidad de reserva y las copias aisladas permanecen sin utilizar, quedan sujetas a un mayor escrutinio. Sin embargo, un plan diseñado para minimizar los costos puede hacer que la recuperación tarde más de lo que el negocio está en condiciones de tolerar.
-Para los directivos, la preparación está vinculada con la tolerancia al riesgo. En última instancia, los líderes deciden cuánto tiempo de inactividad o cuánta pérdida de datos puede aceptar una empresa. Sin embargo, esa respuesta —por ejemplo, «aproximadamente un día»— muchas veces no se traduce en configuraciones concretas de respaldo ni en objetivos de recuperación que hayan sido debidamente probados.
Aunque muchas organizaciones prueban la restauración de datos, son menos las que involucran a Auditoría, Finanzas y la alta dirección para determinar cuándo los sistemas están realmente preparados para volver a producción.
Según el informe Global Cybersecurity Outlook 2026 del Foro Económico Mundial, el 44 % de las organizaciones altamente resilientes realiza simulaciones de incidentes cibernéticos con sus socios de su ecosistema, frente a sólo el 16 % de las organizaciones consideradas insuficientemente resilientes.
Con frecuencia, los equipos deben tomar estas decisiones durante un incidente y bajo una enorme presión. Por eso, deberían realizar simulacros en toda la organización para identificar y resolver posibles problemas antes de que ocurra un incidente. Al hacerlo, podrían descubrir que sus respectivas definiciones de estar «preparados» no coinciden.
¿Quién es responsable de la preparación?
Por lo general, recomiendo que el CISO (director de Seguridad de la Información) y el CIO (director de Sistemas de Información) asuman conjuntamente la responsabilidad de definir por escrito un concepto compartido de preparación que abarque la protección, la detección y la recuperación. Ambos deben establecerlo, mantenerlo actualizado y tenerlo preparado antes de que ocurra un incidente.
Una verdadera preparación frente a las ciberamenazas requiere que las personas, los procesos y la tecnología trabajen de manera coordinada para proteger los datos críticos, detectar amenazas emergentes y recuperarse de los incidentes. El objetivo final es mantener la continuidad del negocio y minimizar las interrupciones cuando se produzca un ataque.
