Grupo Atlas · Serie de verano · Capítulo 4
Ocho capítulos sobre los riesgos que las empresas no ven venir. La serie de verano de Recoletos Consultores. Si es la primera vez que llegas a la serie, empieza por el prólogo, sigue por el Capítulo 1, el Capítulo 2 y el Capítulo 3. En cada entrega hay una pista: guárdala.
Marta llevaba cuatro intentos.
La contraseña era correcta. El sistema no.
Pensó que sería una incidencia puntual. Reinició el equipo, volvió a introducir sus credenciales y esperó. El mismo mensaje apareció de nuevo.
En pocos minutos comenzaron las llamadas. Producción no podía consultar pedidos. Compras había perdido acceso al ERP. El correo funcionaba de forma intermitente y varios documentos del Proyecto Horizonte habían desaparecido de la red.
Nadie hablaba todavía de un ciberataque. Todo apuntaba a una caída de los sistemas.
La situación cambió cuando el responsable de IT pidió que nadie reiniciara los equipos y suspendiera cualquier acceso remoto.
Javier reunió al comité de dirección.
Las preguntas comenzaron a acumularse.
¿Seguimos trabajando?
¿Avisamos a los clientes?
¿Paramos la obra?
¿Quién comunica la incidencia al banco?
Los protocolos técnicos ayudaban a recuperar los sistemas, pero no respondían a las decisiones que la empresa debía tomar mientras tanto.
Alguien preguntó:
—¿Le avisamos?
Nadie necesitó decir el nombre.
—Todavía no. Primero entendamos qué está pasando.
Horas después, el responsable de IT regresó con un informe.
—Ya sabemos qué ha ocurrido. No ha sido una avería. Hemos sufrido un ciberataque. Han conseguido cifrar parte de los sistemas, aunque el incidente se ha contenido antes de extenderse al resto de la infraestructura.
Javier respiró aliviado por un instante.
—¿Cuánto tardaremos en recuperar la normalidad?
—Los sistemas volverán en unas horas. Lo que me preocupa es otra cosa.
Dejó el informe sobre la mesa.
—Durante el incidente nadie tenía claro quién podía autorizar determinadas decisiones, quién debía informar a los clientes o cómo continuar el proyecto sin acceso a la información habitual.
Javier leyó la portada del informe.
El ataque había sido contenido.
La vulnerabilidad que acababan de descubrir, no.
La reflexión
Un ciberataque puede bloquear sistemas, documentos y comunicaciones. Su mayor impacto aparece cuando una organización descubre que tampoco sabe cómo decidir sin ellos. La resiliencia también depende del liderazgo y de la preparación para actuar bajo presión.
Es exactamente el terreno que aborda la directiva NIS2: la ciberseguridad deja de ser un asunto del departamento técnico y pasa a formar parte de la responsabilidad del órgano de administración. Protegerse no consiste solo en levantar defensas técnicas, sino en combinar análisis de vulnerabilidades, auditoría, formación y transferencia del riesgo mediante pólizas: es el enfoque de nuestro servicio de ciberseguridad.
Y el ciberriesgo nunca aparece solo. Identificar, evaluar, tratar y monitorizar los riesgos de forma conjunta es lo que separa una empresa preparada de una empresa que improvisa: puedes verlo desarrollado en nuestra guía completa de gestión de riesgos empresariales y en nuestra consultoría en seguros y gestión global de riesgos.
El Reto Atlas
Cuarta pista.
Las empresas suelen proteger sus sistemas.
No siempre protegen las decisiones que dependen de ellos.
Guarde su respuesta.
¿Te surgen dudas mientras avanzas en la serie? Puedes consultar las preguntas frecuentes sobre gestión de riesgos.
Frase del capítulo
«El ataque había entrado por la tecnología. La crisis se había instalado en la organización.»
¿Tu empresa sabría seguir decidiendo si mañana sus sistemas dejaran de responder?
En PABEMAR ayudamos a las empresas a identificar y proteger los riesgos que no se ven hasta que se convierten en problema. Cuéntanos tu caso sin compromiso.
