80 postos,
cero sustos.

Polo dobre factor de autenticación no correo e no acceso remoto, e por comprobar que as copias de seguridade se restauran de verdade. Son as dúas medidas que máis risco quitan por cada euro investido, e ningunha esixe renovar equipos nin facer obra de infraestrutura: son configuración sobre o que xa existe. O dobre factor pecha a vía de entrada máis habitual, que non é alguén perforando un firewall senón un contrasinal reutilizado que apareceu filtrado noutro servizo sen relación coa empresa. As copias probadas pechan a saída: se algo falla de todos os xeitos, hai maneira real de recuperar os datos en horas e non en días. Despois desas dúas, o seguinte con mellor relación entre custo e risco evitado adoita ser o inventario de equipos e o parcheado regular. Os cambios de arquitectura máis caros, como a segmentación ou os escritorios virtuais, poden agardar a unha segunda fase.

Vai moi ben para os postos de oficina e xestión, que nunha consultora adoitan ser a maioría do equipo: contabilidade, análise, atención ao cliente, calquera tarefa que viva sobre todo en follas de cálculo, correo e aplicacións de xestión. Aí a vantaxe é clara, porque os datos nunca saen do contorno controlado —o que viaxa ata o ordenador da casa é só a imaxe da pantalla— e un portátil perdido ou roubado non supón perder información, porque non había ningunha gardada nel. Onde hai que miralo con máis calma é en deseño gráfico, edición de vídeo ou calquera cálculo que esixa moita potencia gráfica: aí o equipo local segue tendo vantaxe, porque un escritorio virtual ben dimensionado para ese uso resulta caro. A solución habitual en consultoras con perfís mixtos é non forzar un modelo único: escritorio virtual onde compensa, equipo físico xestionado onde non.

Obrigatorio por lei de forma xeral non o é, aínda que distintas normativas sectoriais e de protección de datos empuxan cada vez máis nesa dirección. O que de verdade importa non é a obriga formal senón o que separa na práctica: unha credencial filtrada nun terceiro alleo á empresa —algo sobre o que a empresa non ten ningún control— deixa de servir para entrar se fai falta un segundo factor que só ten o empregado, normalmente o móbil. Nunha firma que trata datos de clientes con información financeira ou persoal sensible, tratar o dobre factor como opcional é difícil de xustificar o día que algo falla. Implantalo non é caro nin complexo: a maioría dos servizos de correo e de acceso remoto xa o inclúen, só hai que activalo e explicarllo ben ao equipo. Como encaixa isto dentro dun contrato de mantemento máis amplo explicámolo en que debe incluír un contrato de mantemento.

Depende de que parte do cambio se mire. O dobre factor e o parcheado regular nótanse rápido, en cuestión de semanas, porque cortan de raíz o goteo de incidencias pequenas que antes ocupaba horas cada semana: contrasinais comprometidos, equipos desactualizados que fallan, virus que entraban por unha vulnerabilidade xa coñecida e sen corrixir. É o tipo de mellora que se ve no número de tíckets antes de verse en ningún informe. Os cambios de arquitectura, como a segmentación da rede interna ou o despregamento de escritorios virtuais, son distintos: impléntanse por fases, posto a posto ou departamento a departamento, e o seu efecto apréciase ao longo de todo o proxecto en vez de dunha vez. Non convén xulgar o proxecto enteiro polo lento que parece ao principio, cando aínda convive o novo co antigo mentres se completa a migración.

A referencia segue a ser a regra 3-2-1: polo menos tres copias do que non te podes permitir perder, en dous soportes distintos, cunha delas fóra da oficina. Nunha consultora con datos de clientes hai que engadir a iso dúas cousas concretas. A primeira é o cifrado: unha copia con información financeira ou persoal que sae da oficina —a un disco externo ou a un provedor na nube— ten que viaxar e gardarse cifrada, porque, se non, perder ese soporte é tan grave como perder os datos no ordenador orixinal. A segunda é a proba de restauración: unha copia que ninguén comprobou que se recupera non é unha copia, é unha suposición. Se dubidas entre montar un NAS propio ou contratar copia na nube, en NAS ou nube para copias de seguridade explícase segundo cal sexa o teu punto de fallo real.

Ningunha medida deixa o risco en cero, así que convén ter claro que facer nas primeiras horas antes de que faga falta. O primeiro é illar da rede inmediatamente o equipo ou os equipos afectados, desconectando o cable ou o wifi, para frear que o cifrado se estenda a cartafoles compartidos ou a outros postos conectados aos mesmos recursos. O segundo é non pagar o rescate: non hai garantía de recuperar nada a cambio, e pagar non arranxa a vía de entrada que fixo posible o ataque. Coas copias de seguridade probadas da pregunta anterior, a saída adoita ser restaurar desde a última copia limpa unha vez confirmado que a orixe do ataque está identificada e pechada. Precisamente por iso, as copias probadas e o dobre factor son as dúas medidas que determinan se un incidente así queda nun susto dunha tarde ou en varios días parados. O detalle está en ransomware: as primeiras horas.