Ciberresiliencia: cómo seguir operando cuando tu empresa sufre un ciberataque

Son las ocho y cuarto de la mañana. En el almacén empieza el turno, pero nadie consigue acceder a los pedidos. El sistema de gestión devuelve un mensaje de error, los terminales no sincronizan y el equipo comercial está recibiendo llamadas de clientes que necesitan una entrega urgente. Mientras informática investiga qué sucede, alguien pregunta lo que de verdad importa: ¿podemos seguir trabajando si los sistemas no vuelven hoy?

Es un escenario ficticio, pero plantea un problema muy real. Durante años muchas empresas han medido su ciberseguridad por las barreras que instalan: antivirus, cortafuegos, accesos, auditorías. Todo eso importa, pero resulta insuficiente si nadie ha ensayado cómo continuar cuando algo falla. La ciberresiliencia empieza precisamente donde termina la ilusión de que podremos impedir todos los incidentes.

Qué es la ciberresiliencia y en qué se diferencia de la ciberseguridad

La ciberseguridad reúne prácticas y controles para proteger sistemas, redes, identidades e información frente a amenazas digitales. La ciberresiliencia incorpora una pregunta más amplia: cómo mantiene una organización sus servicios críticos y vuelve a operar cuando se produce una interrupción, sea por un ataque, un error grave o una dependencia tecnológica que deja de funcionar. No sustituye a la seguridad; la conecta con la continuidad del negocio y la recuperación.

Si un comercio electrónico evita cientos de intentos de acceso ilegítimo, sus controles están funcionando. Si aun así un ataque compromete un proveedor y detiene los pedidos, su resiliencia dependerá de si dispone de procedimientos alternativos, copias utilizables, comunicaciones preparadas y capacidad para recuperar la actividad. Una empresa puede invertir mucho en prevención y descubrir demasiado tarde que nunca había probado una restauración completa.

Qué ha cambiado en 2026: ataques y dependencias

La Agencia de la Unión Europea para la Ciberseguridad (ENISA) publicó el 22 de septiembre de 2026 su análisis del panorama de amenazas. La agencia destaca que las dependencias digitales amplían la superficie de exposición y señala el ransomware como la modalidad de incidente de mayor impacto a corto plazo en el ecosistema europeo. También identifica amenazas relacionadas con ciberdelincuencia, espionaje y campañas de denegación de servicio.

El informe no significa que todas las empresas tengan las mismas probabilidades de sufrir un ataque: sus cifras corresponden a incidentes analizados bajo una metodología concreta, no a un censo de todas las organizaciones. Lo que sí permite observar es que los riesgos ya no terminan en el servidor de una empresa. Los proveedores de software, las identidades digitales y los dispositivos conectados también forman parte de la cadena de continuidad.

CERT-EU destacó en su balance publicado en abril de 2026 la explotación de vulnerabilidades en dispositivos expuestos a internet y la evolución del fraude mediante voz y otros canales. Para una dirección empresarial, la consecuencia práctica es sencilla: no basta con saber qué sistemas tenemos; también hay que saber de cuáles dependemos para poder trabajar.

Las seis funciones del marco NIST CSF 2.0

El marco NIST Cybersecurity Framework 2.0 organiza la gestión del riesgo en seis funciones que se desarrollan de forma continua y coordinada. Resulta especialmente útil porque conecta la tecnología con las responsabilidades de la organización.

Gobernar e identificar

Gobernar significa decidir quién es responsable, qué riesgos estamos dispuestos a asumir y cómo se coordinan tecnología, dirección y proveedores. Identificar exige conocer los procesos esenciales, los datos, las aplicaciones, las personas y las dependencias que necesitan para funcionar. Si la empresa desconoce qué sistema activa las entregas, es difícil elaborar un buen plan de continuidad.

Proteger y detectar

Proteger incluye controlar accesos, actualizar equipos, segmentar redes, formar a las personas y disponer de copias adecuadas. Detectar requiere advertir comportamientos anómalos y contar con canales claros para comunicar una sospecha. Un aviso que llega a una bandeja sin supervisión puede ser casi tan inútil como no tenerlo.

Responder y recuperar

Responder es contener el incidente, preservar evidencias, coordinar decisiones y comunicarse sin improvisar. Recuperar supone restaurar datos y servicios de acuerdo con prioridades verificadas. Las seis funciones no son una secuencia que se completa una vez: una organización necesita mantenerlas actualizadas y ensayarlas.

Qué debería hacer una empresa en las primeras horas

Volvamos al almacén. Si el equipo sospecha que está ante un incidente, la primera prioridad es activar el protocolo interno y avisar a las personas designadas. El equipo técnico debe evaluar cómo contener el problema sin destruir evidencias y sin extenderlo a sistemas todavía sanos; la dirección de operaciones necesita saber qué funciones están disponibles y cómo mantener la actividad esencial. La respuesta precisa depende del incidente, de modo que una lista genérica nunca sustituye a especialistas cualificados ni a un plan probado.

En paralelo conviene disponer de comunicaciones alternativas. Si el correo corporativo o las herramientas de mensajería fallan, ¿cómo se reúne el comité de crisis? ¿Quién puede hablar con clientes y empleados? ¿Dónde está el inventario de contactos si tampoco funciona el gestor documental? Resolver estas preguntas durante un ataque consume un tiempo que pocas empresas se pueden permitir.

El plan también debe prever cuándo intervenir a especialistas externos y cómo analizar obligaciones contractuales, regulatorias y de notificación de incidentes o brechas de datos. No todas las interrupciones son incidentes notificables ni todos los plazos son iguales. Esa evaluación debe quedar a cargo de los responsables legales y de seguridad de cada organización.

Copias de seguridad no es lo mismo que capacidad de recuperación

Una copia que existe pero no puede restaurarse no resuelve el problema. La guía StopRansomware de CISA recomienda recuperar a partir de copias desconectadas o aisladas cuando corresponda, comprobar que los entornos restaurados están limpios y priorizar los servicios críticos. Es fundamental practicar ese procedimiento antes de una crisis.

Para diseñar la recuperación conviene definir dos preguntas por proceso. La primera: ¿cuánto tiempo podemos estar sin este servicio? La segunda: ¿cuánta información podemos permitirnos perder? Son los conceptos que suelen expresarse como RTO, objetivo de tiempo de recuperación, y RPO, objetivo de punto de recuperación. No deberían decidirse únicamente en informática; operaciones y dirección tienen que explicar qué impacto tiene cada escenario sobre clientes, ingresos y obligaciones.

Puede que el correo tolerase unas horas de interrupción y que la gestión de accesos a una instalación crítica no pueda detenerse sin activar un procedimiento alternativo. También puede ocurrir lo contrario en otra compañía. Las prioridades deben salir del negocio real, no de una plantilla genérica que ordena todos los sistemas de la misma manera.

Cómo ensayar la ciberresiliencia sin esperar a sufrir un ataque

Una práctica sencilla es reunir durante una hora a responsables de sistemas, operaciones, comunicación y dirección y plantearles un escenario: el proveedor del ERP informa de una interrupción grave y no ofrece una hora fiable de recuperación. Cada participante debe explicar qué haría, a quién avisaría y qué información necesita para decidir. Anotad las dudas que aparezcan: suelen revelar más vulnerabilidades organizativas que cualquier presentación.

Después conviene realizar una prueba técnica de restauración acotada. Se elige un sistema no crítico, se comprueba que la copia puede recuperarse, se mide cuánto tarda y se verifica que los datos tienen la calidad esperada. El ensayo debe documentar responsables, tiempo real, errores encontrados y acciones de mejora. No hace falta simular el caos para descubrir que falta una contraseña de recuperación o que una copia depende de la misma cuenta comprometida.

Cinco decisiones para pasar de la intención a la práctica

Primera: identificar los tres procesos cuya interrupción tendría más impacto y mapear sus dependencias. Segunda: comprobar que las cuentas con permisos elevados están protegidas y que los sistemas expuestos reciben actualizaciones. Tercera: definir y probar la restauración de la información crítica. Cuarta: nombrar a un responsable de crisis con capacidad de coordinar operaciones y comunicación. Quinta: programar ejercicios y revisar qué ha mejorado realmente, en vez de medir únicamente cuántas políticas existen.

La ciberresiliencia también requiere abordar el factor humano. Las suplantaciones mediante correo, voz o mensajes pueden resultar convincentes, y los empleados necesitan vías sencillas para consultar y comunicar dudas sin temor a ser señalados. Una cultura que castiga cualquier aviso tardío facilita que los problemas permanezcan ocultos. Formación, procedimientos y tecnología deben reforzarse entre sí.

La pregunta que debería hacerse cualquier dirección

La transformación digital ha aumentado la velocidad con la que trabajamos, pero también ha hecho que una incidencia técnica pueda paralizar ventas, atención, producción o pagos. Prepararse para esa realidad no significa asumir que todo está perdido. Significa saber qué queremos proteger, cuánto tiempo necesitamos para recuperar la actividad y cómo actuaremos cuando la situación no sea la que esperábamos.

La próxima reunión de ciberseguridad de una empresa debería empezar con una pregunta distinta de “¿estamos protegidos?”: si mañana un sistema esencial deja de funcionar, ¿sabemos continuar y podemos demostrar que sabemos recuperarlo? La respuesta, con evidencias y ensayos, es el verdadero punto de partida de la ciberresiliencia.

Lecturas relacionadas: modelo Zero Trust y tendencias de ciberseguridad 2026.