80 puestos,
cero sustos.

Por el doble factor de autenticación en el correo y el acceso remoto, y por comprobar que las copias de seguridad se restauran de verdad. Son las dos medidas que más riesgo quitan por cada euro invertido, y ninguna exige renovar equipos ni hacer obra de infraestructura: son configuración sobre lo que ya existe. El doble factor cierra la vía de entrada más habitual, que no es alguien perforando un cortafuegos sino una contraseña reutilizada que apareció filtrada en otro servicio sin relación con la empresa. Las copias probadas cierran la salida: si algo falla de todos modos, hay manera real de recuperar los datos en horas y no en días. Después de esas dos, lo siguiente con mejor relación entre coste y riesgo evitado suele ser el inventario de equipos y el parcheo regular. Los cambios de arquitectura más caros, como la segmentación o los escritorios virtuales, pueden esperar a una segunda fase.

Va muy bien para los puestos de oficina y gestión, que en una consultora suele ser la mayoría del equipo: contabilidad, análisis, atención al cliente, cualquier tarea que viva sobre todo en hojas de cálculo, correo y aplicaciones de gestión. Ahí la ventaja es clara, porque los datos nunca salen del entorno controlado —lo que viaja hasta el ordenador de casa es solo la imagen de la pantalla— y un portátil perdido o robado no supone perder información, porque no había ninguna guardada en él. Donde hay que mirarlo con más calma es en diseño gráfico, edición de vídeo o cualquier cálculo que exija mucha potencia gráfica: ahí el equipo local sigue teniendo ventaja, porque un escritorio virtual bien dimensionado para ese uso resulta caro. La solución habitual en consultoras con perfiles mixtos es no forzar un modelo único: escritorio virtual donde compensa, equipo físico gestionado donde no.

Obligatorio por ley de forma general no lo es, aunque distintas normativas sectoriales y de protección de datos empujan cada vez más en esa dirección. Lo que de verdad importa no es la obligación formal sino lo que separa en la práctica: una credencial filtrada en un tercero ajeno a la empresa —algo sobre lo que la empresa no tiene ningún control— deja de servir para entrar si hace falta un segundo factor que solo tiene el empleado, normalmente el móvil. En una firma que trata datos de clientes con información financiera o personal sensible, tratar el doble factor como opcional es difícil de justificar el día que algo falla. Implantarlo no es caro ni complejo: la mayoría de servicios de correo y de acceso remoto ya lo incluyen, solo hay que activarlo y explicarlo bien al equipo. Cómo encaja esto dentro de un contrato de mantenimiento más amplio lo explicamos en qué debe incluir un contrato de mantenimiento.

Depende de qué parte del cambio se mire. El doble factor y el parcheo regular se notan rápido, en cuestión de semanas, porque cortan de raíz el goteo de incidencias pequeñas que antes ocupaba horas cada semana: contraseñas comprometidas, equipos desactualizados que fallan, virus que entraban por una vulnerabilidad ya conocida y sin corregir. Es el tipo de mejora que se ve en el número de tickets antes de verse en ningún informe. Los cambios de arquitectura, como la segmentación de la red interna o el despliegue de escritorios virtuales, son distintos: se implantan por fases, puesto a puesto o departamento a departamento, y su efecto se aprecia a lo largo de todo el proyecto en vez de de golpe. No conviene juzgar el proyecto entero por lo lento que parece al principio, cuando todavía convive lo nuevo con lo antiguo mientras se completa la migración.

La referencia sigue siendo la regla 3-2-1: al menos tres copias de lo que no te puedes permitir perder, en dos soportes distintos, con una de ellas fuera de la oficina. En una consultora con datos de clientes, a eso hay que añadir dos cosas concretas. La primera es el cifrado: una copia con información financiera o personal que sale de la oficina —a un disco externo o a un proveedor en la nube— tiene que viajar y guardarse cifrada, porque si no, perder ese soporte es tan grave como perder los datos en el ordenador original. La segunda es la prueba de restauración: una copia que nadie ha comprobado que se recupera no es una copia, es una suposición. Si dudas entre montar un NAS propio o contratar copia en la nube, en NAS o nube para copias de seguridad se explica según cuál sea tu punto de fallo real.

Ninguna medida deja el riesgo en cero, así que conviene tener claro qué hacer en las primeras horas antes de que haga falta. Lo primero es aislar el equipo o los equipos afectados de la red inmediatamente, desconectando el cable o el wifi, para frenar que el cifrado se extienda a carpetas compartidas o a otros puestos conectados a los mismos recursos. Lo segundo es no pagar el rescate: no hay garantía de recuperar nada a cambio, y pagar no arregla la vía de entrada que hizo posible el ataque. Con las copias de seguridad probadas de la pregunta anterior, la salida suele ser restaurar desde la última copia limpia una vez confirmado que el origen del ataque está identificado y cerrado. Precisamente por eso las copias probadas y el doble factor son las dos medidas que determinan si un incidente así se queda en un susto de una tarde o en varios días parados. El detalle está en ransomware: las primeras horas.