El rescate, sus marcos y las obligaciones

Pagar un rescate es una decisión de la dirección de la empresa, no del equipo técnico. La toma con asesoría legal, con la aseguradora si hay póliza, y con las autoridades que correspondan. El equipo de respuesta aporta hechos: qué se cifró, qué copias sirven, qué salió de la red, cuánto cuesta recuperar sin pagar. No decide, y tampoco debe contactar a quien escribió la nota por su cuenta.

Hay marcos alrededor que no son opiniones. En Estados Unidos, la oficina de control de activos extranjeros del Tesoro (OFAC) advirtió en 2021 que pagar un rescate a una persona o grupo sancionado puede violar las sanciones aunque quien paga no lo sepa, y que avisar pronto a las autoridades pesa a favor de la empresa. En otros países las reglas son otras, y por eso la revisión de sanciones la hace la asesoría legal antes de cualquier pago. Pagar tampoco garantiza que el descifrador funcione ni que los datos copiados se borren.

Una vez se conoce el incidente empiezan a correr plazos que no son los de la nota: el aviso a la aseguradora según la póliza, el aviso a un cliente según una cláusula de su contrato, el reporte a las autoridades según la ley. En Colombia, la guía de la Superintendencia de Industria y Comercio para incidentes de seguridad con datos personales pide reportarlos dentro de los quince días hábiles siguientes a conocerlos.

Los plazos se cuentan desde el momento en que se conoce el incidente, y se leen todos a la vez: el que se vence primero se atiende primero, aunque no sea el más importante. Una obligación que se incumple por no mirar la tabla es un daño más que el cifrado no causó.

Abre obligaciones y compara los vencimientos que tienen fecha.

La nota afirma cosas: que se copió información, que se publicará, que hay un descifrador. Son afirmaciones de quien cifró y no son hechos hasta que la evidencia las sostiene. Algunas se pueden comprobar con lo que la empresa ya tiene, y esa es tarea del equipo de respuesta antes de que la dirección decida; otras no se pueden comprobar de ninguna manera y se declaran así, sin disfrazarlas.

Lo útil es una lista de hechos con su fuente de evidencia y el estado de la revisión. Un hecho con fuente disponible y sin revisar es trabajo pendiente del equipo, no una incertidumbre.

Abre hechos_para_decidir y lee la última columna.

La nota fija un plazo y amenaza con publicar datos si no se cumple. Ese plazo está escrito para apurar una decisión, y quien lo escribió elige cuándo vence. Tomarlo como el plazo de la empresa es dejar que el atacante marque el ritmo; ignorarlo sin más tampoco, porque la amenaza de publicación es un riesgo que la dirección debe considerar con los hechos delante.

Se anota como una presión, se pone en el cuadro de la decisión con los demás datos, y los plazos que se atienden son los reales: los de las obligaciones y los que la propia empresa fije para decidir.