Inicio/Blog
Blog
Lo que aprendemos atendiendo incidentes
Guías cortas y prácticas para líderes de TI en Colombia. Sin relleno y sin vender: lo que haríamos nosotros en tu lugar.
Respuesta a incidentes · 6 min de lectura
La primera hora de un ransomware: qué hacer y qué no
Respuesta corta: aísla los equipos afectados de la red sin apagarlos, protege y verifica los respaldos, revoca sesiones y rota credenciales privilegiadas, documenta todo con hora exacta y no pagues ni negocies antes de conocer el alcance. Esa hora decide si el incidente cuesta un día o un trimestre.
1. Aísla, no apagues
Desconecta el cable de red o deshabilita el wifi de los equipos comprometidos, pero deja el sistema encendido. Apagar borra la memoria RAM, y ahí suele estar la evidencia que permite identificar la familia del ransomware, el vector de entrada y, en algunos casos, la clave de cifrado.
2. Protege los respaldos antes que nada
El objetivo de un atacante moderno son los respaldos: si los cifra o los borra, la negociación cambia por completo. Desconecta el almacenamiento de respaldo de la red, verifica que las copias más recientes estén íntegras y confirma que puedas restaurar una muestra. Un respaldo que nunca se ha restaurado es una suposición, no un plan.
3. Corta las credenciales
Revoca las sesiones activas de las cuentas privilegiadas, rota sus contraseñas y deshabilita las cuentas de servicio sospechosas. El movimiento lateral casi siempre viaja con credenciales válidas, no con exploits nuevos.
4. Documenta con hora exacta
Anota qué se detectó, cuándo, quién lo vio y qué acción se tomó. Ese registro es la base del informe posterior, del reclamo ante la aseguradora si existe póliza, y de la notificación a la Superintendencia de Industria y Comercio cuando hay datos personales comprometidos.
5. Lo que no debes hacer
- No pagar de inmediato. Pagar sin conocer el alcance no garantiza recuperación y financia la siguiente campaña.
- No borrar ni reinstalar hasta tener la evidencia forense. Reinstalar sobre un equipo comprometido destruye la única pista del vector de entrada.
- No comunicar por los canales comprometidos. Si el correo corporativo está afectado, coordina la crisis por un canal alterno.
Si estás en esta situación ahora mismo, llama a nuestra línea de respuesta: 318 837 0378 o PBX (601) 702 7670.
Guía de compra · 7 min de lectura
Cómo elegir un SOC gestionado en Colombia sin equivocarte
Respuesta corta: pregunta por los tiempos de detección y contención comprometidos por escrito, por quién ejecuta la contención (ellos o tú), por el idioma y el horario real del analista que responde, y por qué pasa con tus datos al terminar el contrato. Casi ninguna propuesta responde las cuatro sin insistir.
Pregunta 1: ¿Qué tiempos se comprometen por escrito?
«Monitoreo 24/7» no dice nada por sí solo. Lo que importa son dos cifras en el acuerdo de nivel de servicio: cuánto tardan en detectar y cuánto en contener, medido desde el primer evento y no desde que alguien abrió el ticket. Si el proveedor no las pone por escrito, no las mide.
Pregunta 2: ¿Quién ejecuta la contención?
Hay una diferencia enorme entre un servicio que te avisa y uno que actúa. Si el proveedor solo notifica, la ventana de contención depende de que tu equipo esté despierto. Pregunta explícitamente si pueden aislar un equipo, revocar una sesión y bloquear una cuenta, y con qué autorización previa.
Pregunta 3: ¿Quién contesta a las 3 de la mañana?
Muchos servicios «follow the sun» pasan la guardia nocturna a otro continente. Eso no es malo en sí, pero cambia la conversación: verifica en qué idioma responde el analista de esa franja, si conoce tu contexto y si puede escalar a alguien en Colombia cuando la decisión es de negocio y no técnica.
Pregunta 4: ¿Qué pasa con tus datos al salir?
Tus registros de seguridad tienen valor forense durante años. Pregunta cuánto tiempo se conservan, dónde residen, si puedes exportarlos en un formato abierto y qué ocurre con ellos al terminar el contrato. La respuesta te dice mucho sobre qué tan atado quedas.
Señales de alerta
- Una sola marca para todo. Si el proveedor solo trabaja con un fabricante, la recomendación llegará antes que el diagnóstico.
- Informes que son capturas de pantalla del panel. Un informe útil interpreta, prioriza y recomienda; no exporta.
- No hay prueba de restauración. Si nadie ha probado restaurar tus respaldos, tu plan de continuidad es una hipótesis.
Cumplimiento · 5 min de lectura
Ley 1581 de 2012: qué exige en la práctica a tu área de TI
Respuesta corta: la ley colombiana de protección de datos personales obliga a implementar medidas técnicas y administrativas para garantizar seguridad y evitar acceso no autorizado, a registrar las bases de datos ante el Registro Nacional de Bases de Datos y a reportar los incidentes que afecten datos personales a la Superintendencia de Industria y Comercio.
Lo que se traduce en trabajo técnico
- Inventario y clasificación. Saber qué bases de datos personales existen, dónde viven y quién accede a ellas. Sin ese inventario, ningún control posterior es verificable.
- Control de acceso. Privilegio mínimo, doble factor en los accesos remotos y revisión periódica de cuentas, especialmente las de personal que ya salió.
- Cifrado y respaldo. Cifrado en tránsito y en reposo para la información sensible, con respaldos probados.
- Registro de actividad. Trazabilidad de quién consultó, modificó o exportó datos personales, conservada el tiempo suficiente para investigar.
- Procedimiento de incidentes. Un procedimiento escrito y ensayado que incluya la notificación a la autoridad, con responsables y plazos definidos.
Dónde falla la mayoría
No en la política, sino en la evidencia. Muchas organizaciones tienen el documento firmado y ningún registro que demuestre que el control opera. En una revisión, lo que se examina es la evidencia: los reportes de revisión de accesos, las pruebas de restauración, los registros de los simulacros.
Cómo se relaciona con ISO/IEC 27001
La Ley 1581 fija la obligación; ISO/IEC 27001 ofrece un sistema de gestión para cumplirla de forma sostenible y demostrable. Implementar los controles de la norma cubre buena parte de lo que la ley exige, con la ventaja de que genera evidencia de manera continua en lugar de reunirla a las carreras antes de una visita.
Si necesitas levantar ese inventario o preparar la evidencia, escríbenos y lo revisamos contigo.
Empecemos
¿Quieres saber cómo está tu organización hoy?
El diagnóstico inicial es gratuito y no requiere instalar nada en tu red.