Quan una empresa ens truca perquè no arrenca cap servidor, la conversa s'assembla sempre. I l'ordre en què es prenen les primeres decisions explica bona part de la diferència entre un expedient de tres setmanes i un de quatre mesos.
Abans del xifratge ja portaven dins setmanes
El xifratge és el final, no el principi. L'accés sol produir-se dies o setmanes abans per una credencial vàlida comprada o reutilitzada, i aquest temps es dedica a moure's per la xarxa, elevar privilegis i localitzar les còpies de seguretat. Per això les còpies de seguretat connectades al domini es perden amb la resta: no és mala sort, és l'objectiu declarat de l'atacant abans de llançar el xifratge.
La primera trucada decideix la resta de l'expedient
Les pòlisses de ciber treballen amb un panell de resposta: forense, advocat especialitzat i negociador, activables per un telèfon disponible a qualsevol hora. Contractar per lliure un forense propi abans d'avisar sol xocar amb l'exigència de autorització prèvia de l'assegurador i obre una discussió sobre si la despesa és reemborsable. La seqüència correcta és avisar primer i contractar després, encara que sembli contraintuïtiva amb els sistemes aturats.
De què es compon la factura real
Per ordre d'import habitual: la pèrdua de beneficis pels dies sense operar, les hores de reconstrucció de l'entorn, el forense, l'assistència jurídica i les notificacions a afectats i a l'autoritat de control. El rescat, quan arriba a pagar-se, poques vegades és la partida dominant. Convindria revisar que el sublimite d'interrupció i el període d'espera, amb freqüència entre vuit i dotze hores, encaixen amb el que l'empresa aguanta aturada sense dany comercial.
La reconstrucció costa més del que es pressuposta
Restaurar no és tornar les dades al seu lloc: és aixecar un entorn net, sense la porta per on van entrar, amb directori actiu reconstruït i credencials rotades. En organitzacions mitjanes això són setmanes de treball. Aquí la garantia que marca la diferència és la de millora de sistemes, que cobreix la part de la reconstrucció que deixa la infraestructura millor del que estava, i que no totes les pòlisses incorporen.
Les tres coses que convé tenir resoltes avui
Una còpia de seguretat desconnectada del domini i provada amb una restauració real en els últims sis mesos. Un telèfon d'avís a l'asseguradora accessible fora del correu corporatiu, perquè durant l'incident el correu no funciona. I una llista impresa de contactes crítics: direcció, responsable de sistemes, assessor jurídic i corredor. Sona elemental fins a la nit en què fa falta.
