Cuando un comité de crisis se reúne tras detectar un ransomware activo, la primera pregunta casi nunca es “¿nos van a cifrar los archivos”. Para ese momento, en la mayoría de los casos, el cifrado ya ocurrió o es inminente. Las preguntas reales son otras: ¿cuánto tiempo va a estar detenida la operación?, ¿qué sistemas críticos dependen de lo que acaban de cifrar?, ¿tenemos un backup que efectivamente funcione?, ¿qué le vamos a decir a un cliente, a un regulador o a la Superintendencia si los datos ya están publicados en un sitio de filtración? Esa es la conversación que define si un incidente de ransomware se convierte en una interrupción de horas o en una crisis de reputación y continuidad de negocio de semanas.
El desplazamiento de foco —de “prevenir el cifrado” a “sostener la operación y ser defendible ante terceros”— no es una postura retórica. Es la lectura que hacen hoy tanto NIST como CISA cuando actualizan sus guías de gestión de riesgo de ransomware, y es también la conclusión que arrojan los reportes de respuesta a incidentes de firmas como Mandiant y CrowdStrike: la superficie de decisión ya no es binaria (cifrado sí/no), sino de grados de degradación operativa, de tiempo de restauración y de control narrativo frente a clientes y entes reguladores.
Lo que dicen realmente NIST y CISA, función por función
NIST publicó en febrero de 2022 el NISTIR 8374, “Ransomware Risk Management: A Cybersecurity Framework Profile”, un documento que traduce el Cybersecurity Framework (CSF) en un perfil específico para ransomware, organizado en las cinco funciones clásicas: Identificar, Proteger, Detectar, Responder y Recuperar. Ese documento fue actualizado con una revisión (Rev. 1) alineada al CSF 2.0, publicada como versión final en 2026, que mantiene la misma lógica de perfil de riesgo pero incorpora la función “Gobernar” del CSF 2.0. El propósito declarado por NIST es explícito: ayudar a cualquier organización, sin importar sector o tamaño, a identificar y priorizar brechas de seguridad y resiliencia frente a ransomware, comparando su “perfil actual” contra un “perfil objetivo”.
En paralelo, CISA, la NSA, el FBI y el Multi-State Information Sharing and Analysis Center (MS-ISAC) mantienen conjuntamente el #StopRansomware Guide, producido bajo el Joint Ransomware Task Force (JRTF), el organismo interagencial creado por el Congreso de EE. UU. en 2022 para unificar el esfuerzo federal contra ransomware. Su última actualización pública data de octubre de 2023 y sigue siendo la referencia operativa vigente en cisa.gov/stopransomware. Aterrizando ambas guías sobre las funciones del CSF, las prioridades concretas son:
Identificar
Antes de invertir en cualquier control, NIST exige inventariar qué activos, procesos de negocio y dependencias de terceros son realmente críticos para la operación. No es un ejercicio de cumplimiento: es la base para decidir qué sistemas necesitan el RTO (tiempo de recuperación objetivo) más agresivo y cuáles pueden esperar. Sin este mapa, la respuesta a un incidente se decide de forma improvisada, bajo presión, en la peor ventana de tiempo posible.
Proteger
El StopRansomware Guide es explícito sobre dos controles que reducen el radio de impacto: segmentación de red —separar los sistemas críticos de forma que un punto de apoyo inicial en la red de usuarios no llegue libremente a servidores de archivos, infraestructura de backup e hipervisores— y gestión de accesos privilegiados, incluyendo el endurecimiento de protocolos como SMB y la reducción de cuentas con privilegios administrativos permanentes. La guía también alinea sus recomendaciones con las Cybersecurity Performance Goals (CPG) de CISA y NIST, un conjunto mínimo de prácticas que toda organización, sin importar madurez, debería tener implementado.
Detectar
El foco no es solo el malware final, sino el movimiento lateral previo. Los datos de M-Trends 2026 de Mandiant muestran por qué esto es urgente: el tiempo mediano entre el acceso inicial de un intermediario (initial access broker) y la entrega a un afiliado de ransomware se redujo a apenas 22 segundos en 2025, frente a más de 8 horas en 2022. La ventana para detectar reconocimiento y escalamiento antes del cifrado se ha comprimido de forma drástica, lo que obliga a priorizar detección de comportamiento anómalo (uso de credenciales, acceso a shares, herramientas de administración remota) por encima de la sola detección de firmas de malware.
Responder
El StopRansomware Guide es taxativo: la organización debe crear, mantener y ejercitar regularmente un plan de respuesta a incidentes (IRP) con su correspondiente plan de comunicaciones, que incluya procedimientos de notificación específicos para ransomware y extorsión de datos. La guía recomienda mantener una copia física del plan y una versión offline accesible, partiendo de la premisa de que los sistemas de correo, chat y gestión documental pueden estar cifrados junto con todo lo demás.
Recuperar
Aquí es donde ambas guías convergen con más fuerza: los backups deben mantenerse offline o aislados de la red de producción, porque la mayoría de los operadores de ransomware buscan activamente localizar y cifrar también las copias de respaldo. El uso de almacenamiento inmutable en la nube es una alternativa válida, pero NIST y CISA advierten que debe implementarse con cuidado: puede no cumplir criterios de ciertas regulaciones y una mala configuración puede generar sobrecostos significativos sin aportar la protección esperada.
Cómo ha cambiado el juego: de cifrar archivos a negar la recuperación
La narrativa de “backup como salvavidas” sigue siendo válida, pero incompleta. El reporte M-Trends 2026 de Mandiant documenta un giro táctico relevante: los operadores de ransomware están apuntando de forma activa a infraestructura de backup, servicios de identidad y planos de gestión de virtualización, no solo a los datos de producción. El objetivo es la “denegación de recuperación”: si la víctima no puede restaurar por sus propios medios, la probabilidad de pago aumenta, independientemente de si el cifrado en sí fue sofisticado.
El mismo reporte señala que el compromiso previo (prior compromise) —es decir, credenciales o accesos ya vendidos o reutilizados de incidentes anteriores— fue el vector de infección confirmado más frecuente en incidentes de ransomware en 2025, con una participación que casi se duplicó respecto al año anterior, llegando a cerca del 30% de los casos. El tiempo de permanencia (dwell time) mediano para intrusiones relacionadas con ransomware fue de 6 días en 2024 según Mandiant, cayendo a 5 días cuando el atacante mismo notificó a la víctima (es decir, cuando ya estaba listo para extorsionar) y subiendo a 29 días cuando la organización detectó el incidente por sus propios medios. La brecha entre esos dos números —5 días frente a 29— es, en la práctica, la diferencia entre tener capacidades de detección propias y depender de que el atacante avise.
El modelo de negocio detrás de estos ataques sigue siendo, en su gran mayoría, Ransomware-as-a-Service (RaaS): operadores que desarrollan el malware y la infraestructura de extorsión, y afiliados que ejecutan la intrusión a cambio de una comisión, típicamente en reparto favorable al operador. Grupos como Qilin, Akira, Cl0p y otros han ocupado el espacio dejado por operaciones desmanteladas o interrumpidas por acción policial, lo que confirma que la disrupción de un grupo específico no reduce el riesgo estructural: el ecosistema RaaS se reconfigura con velocidad. La doble extorsión (cifrar y robar datos) y la triple extorsión (amenazar adicionalmente con notificar a clientes, socios o reguladores, o lanzar ataques de denegación de servicio) son hoy la norma, no la excepción, en operaciones de ransomware dirigidas.
El CrowdStrike 2025 Ransomware Report, basado en una encuesta a 1,100 líderes de seguridad a nivel global, aporta el dato que más debería inquietar a un comité directivo: de las organizaciones que pagaron el rescate, el 83% fue atacado nuevamente y el 93% tuvo datos robados de todas formas. El mismo estudio encontró que solo el 22% de las víctimas que se consideraban “muy bien preparadas” lograron recuperarse en menos de 24 horas, y que cerca del 40% no pudo restaurar completamente sus datos desde backup tras el incidente. El costo promedio de downtime reportado fue de 1.7 millones de dólares por incidente, sin contar daño reputacional, sanciones regulatorias ni riesgo competitivo derivado de la exposición de datos.
Cinco prioridades operativas concretas
Traduciendo el marco NIST/CISA y la evidencia de campo en decisiones ejecutables, estas son las prioridades que efectivamente mueven la aguja en el impacto operativo real:
- Backups inmutables, aislados y probados —no solo existentes. Un backup que nunca se restauró en un ejercicio real es una hipótesis, no un control. La prioridad no es la frecuencia del respaldo sino la verificación periódica de que el proceso de restauración cumple el RTO definido para cada sistema crítico, y que la copia está genuinamente fuera del alcance de credenciales comprometidas en la red de producción.
- Segmentación de red y control de accesos privilegiados. Limitar que un compromiso inicial en un endpoint de usuario escale hasta controladores de dominio, hipervisores o infraestructura de backup. Esto incluye eliminar cuentas administrativas permanentes, aplicar autenticación multifactor de forma universal —no solo en VPN— y auditar regularmente quién tiene acceso a qué.
- Plan de respuesta a incidentes ensayado con ejercicios de mesa (tabletop). Un IRP que solo existe en un documento PDF dentro de un servidor que puede quedar cifrado no es un plan, es una intención. El ejercicio de mesa —simular el incidente con las áreas legal, comunicaciones, TI y dirección en la misma sala— es lo que revela vacíos reales: quién autoriza aislar un segmento de red, quién decide si se notifica a un cliente, quién tiene el número del CSIRT nacional o de un proveedor forense a la mano.
- Gestión de parches priorizada por explotación activa, no por severidad genérica. Con tiempos de handoff de acceso inicial a afiliado de ransomware medidos en segundos, la ventana entre la publicación de una vulnerabilidad y su explotación activa se ha reducido de forma crítica. Priorizar remediación según indicadores de explotación real (KEV de CISA, inteligencia de amenazas activa) rinde más que un cronograma de parcheo basado solo en el puntaje CVSS.
- Comunicación de crisis predefinida, incluyendo el escenario de exfiltración de datos. Con la triple extorsión como práctica habitual, la organización necesita un protocolo de comunicación —a clientes, a reguladores, a medios— redactado y aprobado legalmente antes del incidente, no improvisado durante la crisis. Esto incluye tener claridad previa sobre obligaciones de notificación bajo la normativa colombiana de protección de datos y los plazos que exige la Superintendencia de Industria y Comercio.
Errores que agravan el impacto
La mayoría de las organizaciones que terminan con semanas de parálisis operativa no cometieron un solo error grave, sino una combinación de decisiones aparentemente razonables tomadas sin plan previo:
- Pagar el rescate asumiendo que resuelve el problema. La evidencia de CrowdStrike es clara: pagar no garantiza recuperación completa de los datos, no elimina el riesgo de reataque —al contrario, lo eleva— y no evita que los datos exfiltrados terminen expuestos o vendidos de todas formas.
- No tener plan de comunicación, y descubrirlo durante la crisis. Cuando el equipo legal, comunicaciones y dirección tienen que coordinar un mensaje a clientes o reguladores por primera vez en medio del incidente, el resultado casi siempre es lento, inconsistente y legalmente riesgoso.
- Backups accesibles desde la misma red comprometida. Es el error técnico más costoso y, según ambas guías, el más buscado deliberadamente por los atacantes. Si el backup es alcanzable con las mismas credenciales que ya están comprometidas, no es una capa de recuperación independiente.
- Subestimar el compromiso previo como vector. Con el “prior compromise” como principal vector confirmado de acceso inicial según Mandiant, ignorar la higiene de credenciales expuestas, accesos de terceros y remanentes de incidentes anteriores deja una puerta abierta que ningún control de endpoint por sí solo cierra.
- Tratar el ejercicio de continuidad como un documento y no como una práctica. Un plan de continuidad de negocio que nunca se sometió a un ejercicio de mesa con los tiempos reales de restauración medidos, no tiempos estimados, falla exactamente cuando más se necesita.
La postura de CIBER-TEC: resiliencia operativa por encima de prevención absoluta
La prevención absoluta contra ransomware no existe, y diseñar un programa de seguridad asumiendo que sí es posible conduce a decisiones de inversión desalineadas con el riesgo real. Con tiempos de handoff medidos en segundos y operadores que ya no solo cifran sino que apuntan deliberadamente a la infraestructura de recuperación, el criterio que debe gobernar la estrategia de un CISO no es “¿logramos bloquear el cien por ciento de los intentos?”, sino “¿cuánto tiempo estaríamos operativamente parados si el bloqueo falla, y qué tan defendible es nuestra respuesta frente a clientes y reguladores?”.
Esa pregunta traslada el centro de gravedad del programa de seguridad: de comprar más controles preventivos a verificar, con evidencia y ejercicios reales, que el RTO definido para cada sistema crítico es alcanzable, que el plan de comunicación de crisis está redactado y aprobado antes de necesitarlo, y que los backups sobreviven exactamente el escenario para el que existen. La recomendación práctica inmediata para cualquier equipo de seguridad o dirección que lea esto: antes de la próxima revisión de presupuesto de ciberseguridad, ejecute un ejercicio de mesa de ransomware con las áreas de TI, legal, comunicaciones y dirección en la misma sala, midiendo con cronómetro cuánto tardaría realmente en restaurar el sistema más crítico de la organización desde backup. Ese número, no el marketing de ningún proveedor, es el punto de partida real para priorizar inversión en resiliencia.