En octubre de 2023, TSTT, la compañía nacional de telecomunicaciones de Trinidad y Tobago, sufrió un ataque de ransomware. Los atacantes publicaron una muestra de lo que se habían llevado y la primera versión pública de la empresa tuvo que corregirse días después. Para las empresas del país fue el momento en que el riesgo cibernético dejó de ser abstracto. Si le puede pasar a la compañía telefónica, la pregunta útil para un dueño no es «¿somos objetivo?», sino «¿qué nos pasa cuando cae algo de lo que dependemos?».
Esa pregunta tiene dos mitades, y la mayoría de los planes de continuidad solo responde a una. La primera es la recuperación propia: qué haces cuando los sistemas cifrados son los tuyos. La segunda es la dependencia: qué haces cuando tus sistemas están bien y lo que falla está fuera. Octubre de 2023 fue una lección sobre la segunda mitad que casi todo el mundo archivó en la primera.
¿Sirven para algo tus copias? Tres preguntas
Casi todas las empresas que conocemos tienen copias de seguridad. Muy pocas pueden responder a las tres preguntas que deciden si esas copias sirven para algo.
- ¿Cuándo restauró alguien por última vez a partir de ellas? No comprobar que la tarea terminó, sino recuperar un archivo, una base de datos o un servidor entero y usarlo.
- ¿Cuánto tardó esa restauración, medida con reloj y no estimada?
- ¿Hay al menos una copia donde un atacante no llegue desde tu red, desconectada o en un almacenamiento que no se pueda sobrescribir?
Una copia que nunca se ha restaurado es una hipótesis. Los grupos de ransomware lo saben. El guion habitual localiza y cifra o borra primero las copias y después los sistemas de producción, porque una empresa sin camino de vuelta paga. La copia que te salva es la que tus propias credenciales de administrador no pueden borrar.
¿Qué convierte un plan de continuidad en algo real y no en un documento?
La segunda parte de la recuperación es un plan, y la prueba de un plan es sencilla. Imprímelo y dáselo a las personas que tendrían que ejecutarlo a las dos de la mañana. Si nunca lo han visto, tienes un documento, y un documento todavía no es un plan.
El plan tiene que dejar resueltas de antemano unas pocas cosas, porque durante el incidente nadie tiene la calma para resolverlas. Quién declara el incidente y quién puede decidir pagar, apagar, llamar al seguro o al regulador. Cómo se habla el equipo entre sí cuando lo que ha caído es el correo y la centralita. Y en qué orden vuelven los sistemas. Ese orden es una decisión de negocio, no técnica. La facturación antes que la intranet. El escáner del almacén antes que el panel de informes. Escríbelo mientras nadie grita.
¿Qué pasa cuando tus sistemas están bien y lo de fuera no?
Esto es lo que enseñó octubre de 2023, y lo que no. La mayoría de las empresas de Trinidad y Tobago no sufrieron el ataque. Sus sistemas funcionaban. Lo que falló, para algunas, fue el enlace entre ellas y sus clientes, su banco, su software en la nube, sus terminales de tarjeta. Nada en su política de copias cubría eso, porque no se perdió nada. La empresa, simplemente, se paró.
La conectividad en Trinidad y Tobago es una restricción de diseño, no una nota al pie, y lo mismo vale para cualquier proveedor único sobre el que se apoye tu operación. El ejercicio es un mapa de dependencias, y cabe en una página. Para cada cosa que no controlas, tres respuestas:
- ¿Qué se para cuando falta? No «internet», sino «no podemos cobrar con tarjeta, liberar pedidos ni ver el stock».
- ¿Cuánto tiempo se puede aguantar? Una hora, un día, una semana. Responde con honestidad y escribe la cifra.
- ¿Cuál es la alternativa y sabe alguien ponerla en marcha? Hojas de pedido en papel, el punto de acceso de un móvil, un segundo operador, una copia local de la lista de precios.
| Dependencia que no controlas | Qué se para cuando falta | Cuánto tiempo se aguanta | La alternativa, y quién sabe ponerla en marcha |
|---|---|---|---|
| Conectividad u operador | |||
| Cobro con tarjeta | |||
| Software en la nube | |||
| Acceso al banco |
Una operación que sobrevive a un corte es una que se diseñó para él. Algunas funciones deben ejecutarse en local, en una máquina del edificio, y sincronizarse cuando vuelva el enlace. Otro trabajo puede esperar en cola. Y algunas decisiones necesitan una persona con nombre que pueda actuar durante el hueco sin pedir permiso a un sistema que no responde.
¿Cómo se ensaya un corte en una tarde?
Nada de esto necesita un consultor ni software. Necesita una tarde. Elige un martes cualquiera, reúne a las cinco o seis personas que llevan la operación y lee un escenario en voz alta: «el servidor está cifrado y la nota pide el pago en 72 horas» o «la fibra está caída y el proveedor habla de dos días». Después recórrelo hora a hora. ¿Quién se da cuenta primero? ¿A quién llama y desde qué teléfono? ¿Qué hace la planta a las nueve? ¿Qué le dice administración a los clientes que ya han pagado?
El primer ensayo siempre es incómodo, y de eso se trata. Saca a la luz la contraseña compartida, la copia que nadie ha restaurado, el contrato del proveedor sin un teléfono de contacto, el hecho de que solo una persona sabe pasar el terminal de venta a modo sin conexión. Corrige eso, escribe en una página lo aprendido y repítelo dentro de seis meses. Hemos visto a este ejercicio cambiar más cosas que la mayoría de las compras de seguridad.
¿Cuánto cuesta de verdad la continuidad?
La continuidad es sobre todo decisiones, y las decisiones son baratas. El orden de recuperación, la persona que declara, la alternativa para cobrar con tarjeta, la cadena de llamadas en papel: nada de eso aparece en una factura. Donde hace falta dinero, es algo concreto. Una copia desconectada o inmutable. Una restauración cronometrada. Una segunda conexión, aunque sea modesta y por datos móviles, para las funciones que no pueden parar. Un gestor de contraseñas y un segundo factor, para que las credenciales que protegen las copias no sean las mismas que un atacante encuentra en un portátil.
| Decisiones, sin factura | Gasto, y para qué |
|---|---|
| El orden en que vuelven los sistemas | Una copia desconectada o inmutable |
| Quién declara el incidente, y quién puede decidir pagar o apagar | Una restauración cronometrada |
| La alternativa para cobrar con tarjeta | Una segunda conexión para las funciones que no pueden parar |
| La cadena de llamadas, en papel | Un gestor de contraseñas y un segundo factor para las credenciales que protegen las copias |
Lo que no ayuda es comprar primero una herramienta. Un producto de continuidad adquirido antes de que exista el mapa protege lo que se le ocurrió al fabricante, en el orden que eligió el fabricante. El mapa tiene que salir de la empresa.
Ninguna de las dos mitades exige adivinar el próximo incidente. Ambas exigen decidir, por adelantado y por escrito, qué hace el negocio cuando falle algo de lo que depende, y no si falla. Octubre de 2023 dio a cada dueño del país un motivo para tener esa conversación. Las empresas que la tuvieron son las que describirán el próximo corte como una molestia.
