¿Qué hacer en las primeras 24 horas tras un ciberataque para que el seguro responda?
Respuesta breve
Para saber qué hacer tras un ciberataque en una empresa, las primeras horas deben centrarse en tres prioridades: contener el incidente sin destruir evidencias, documentar lo ocurrido y comunicar cuanto antes el siniestro al corredor o aseguradora siguiendo las condiciones de la póliza.. Actuar con rapidez y trazabilidad facilita la gestión técnica y aseguradora, pero no garantiza por sí solo que exista cobertura: será necesario comprobar qué ocurrió, qué garantías estaban contratadas y si se cumplen las condiciones de la póliza.
Si tu empresa dispone de un seguro de ciberriesgos, conviene que el procedimiento de respuesta esté definido antes de sufrir el incidente y que las personas responsables sepan a quién llamar y qué información conservar.
Índice
- 1. Qué hacer en los primeros minutos
- 2. Contener sin destruir evidencias
- 3. Documentar el incidente
- 4. Comunicar el siniestro al corredor o aseguradora
- 5. Comprobar si existe una brecha de datos personales
- 6. Errores que pueden complicar la cobertura
- 7. Protocolo práctico de 24 horas
- 8. Métricas que conviene registrar
- 9. Preguntas frecuentes
¿Qué hacer tras un ciberataque en una empresa durante los primeros minutos?
El primer error suele ser intentar solucionar inmediatamente todos los síntomas sin determinar qué ha ocurrido. En un ransomware, una intrusión en una cuenta de correo, una fuga de información o un acceso no autorizado, las acciones iniciales pueden afectar tanto a la recuperación técnica como a la investigación posterior del siniestro.
La empresa debería activar su procedimiento interno de respuesta y asignar desde el principio responsabilidades claras. Como mínimo deberían participar el responsable técnico o proveedor informático, dirección y la persona encargada de seguros o riesgos. Si puede existir afectación a datos personales, también deberá incorporarse el responsable de privacidad o delegado de protección de datos cuando proceda.
En paralelo, es recomendable comprobar las instrucciones de la póliza de ciberriesgo. Algunas pólizas incorporan servicios específicos de respuesta a incidentes, asistencia forense o proveedores previamente autorizados. Contratar servicios externos o asumir determinados gastos sin comprobar antes estas condiciones puede afectar a su cobertura o reembolso conforme a lo establecido en la póliza.
Prioridad 1: contener el ataque sin destruir evidencias
Contener no significa borrar inmediatamente equipos, reinstalar servidores o eliminar archivos. El objetivo inicial es evitar que el incidente continúe propagándose manteniendo, siempre que sea posible, las evidencias necesarias para conocer su origen y alcance.
Según el tipo de ataque, las actuaciones técnicas pueden incluir:
- Aislar de la red los equipos o servidores comprometidos.
- Bloquear cuentas o accesos sospechosos.
- Revocar sesiones activas y restablecer las credenciales que se hayan identificado como comprometidas.
- Segmentar temporalmente sistemas críticos.
- Detener conexiones externas cuando sea técnicamente necesario.
- Preservar logs, correos, alertas y registros de seguridad.
- Evitar restaurar copias hasta comprobar que son anteriores y seguras respecto al incidente.
INCIBE recomienda que la gestión de incidentes contemple fases de mitigación, recuperación y recapitulación, conservando y documentando la información recogida durante la respuesta. Puedes consultar su guía de gestión de incidentes de seguridad para empresas.
Prioridad 2: documentar qué ha sucedido desde el primer momento
En un siniestro cibernético, la cronología tiene mucho valor. No basta con comunicar que “hemos sufrido un ransomware”. Conviene poder explicar cuándo se detectó, qué señales aparecieron, qué sistemas estaban afectados y qué decisiones se adoptaron.
Desde el primer momento debería abrirse un registro del incidente que incluya:
- Fecha y hora en que se detectó.
- Persona o sistema que generó la primera alerta.
- Equipos, aplicaciones, cuentas y ubicaciones afectadas.
- Servicios que dejaron de funcionar.
- Indicadores observados: mensajes, archivos cifrados, conexiones extrañas, correos o accesos anómalos.
- Acciones de contención realizadas y hora de cada actuación.
- Personas y proveedores que intervinieron.
- Posible afectación a clientes, proveedores o datos personales.
- Costes extraordinarios que comiencen a producirse.
También conviene preservar capturas, registros, encabezados de correo, logs, mensajes de extorsión y cualquier otra evidencia relevante. Siempre que sea posible y técnicamente seguro, conviene preservar las evidencias relevantes antes de realizar actuaciones que puedan alterarlas o eliminarlas.
Prioridad 3: ¿Cuándo hay que avisar al corredor o a la aseguradora?
La comunicación debe hacerse lo antes posible y siguiendo exactamente el procedimiento previsto en la póliza. No es recomendable esperar a conocer el coste definitivo o el alcance completo del ataque.
La Ley 50/1980, de Contrato de Seguro, establece con carácter general que el siniestro debe comunicarse en un plazo máximo de siete días desde que se conoce, salvo que la póliza establezca un plazo más amplio.
Sin embargo, ese plazo legal no debe interpretarse como una recomendación de esperar para comunicar un incidente cibernético. Algunas coberturas dependen de una respuesta inmediata y puede ser necesario activar servicios forenses, legales, de restauración o de gestión de crisis coordinados por la aseguradora.
En esta fase el corredor puede ayudar a interpretar la póliza, canalizar la comunicación y coordinar la interlocución con la aseguradora. Peris incluye la tramitación de siniestros dentro de su propuesta de servicio para empresas y dispone de soluciones específicas de Gerencia y Consultoría de Riesgos.
¿Qué ocurre si el ataque afecta a datos personales?
Un ciberataque y una brecha de datos personales no son exactamente lo mismo. Pero si el incidente provoca destrucción, pérdida, alteración, divulgación o acceso no autorizado a datos personales, la empresa debe analizar también sus obligaciones en materia de protección de datos.
Cuando sea probable que la brecha suponga un riesgo para los derechos y libertades de las personas, el responsable del tratamiento deberá notificarla a la autoridad de control competente sin dilación indebida y, cuando sea posible, dentro de las 72 horas siguientes a haber tenido constancia de ella.
Si el riesgo para los afectados es alto, puede ser necesario además comunicarles directamente lo sucedido. La Agencia Española de Protección de Datos dispone de información y herramientas para valorar estos supuestos.
Incluso cuando finalmente no exista obligación de notificar a la AEPD, el responsable del tratamiento debe documentar la brecha de datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas.
¿Qué errores pueden complicar la respuesta del seguro?
No todos los errores implican automáticamente la pérdida de cobertura. La consecuencia dependerá de la póliza, de las circunstancias y de la relación entre la actuación realizada y el perjuicio producido. Sin embargo, algunos comportamientos aumentan claramente el riesgo de problemas durante la gestión del siniestro.
- Notificar demasiado tarde: esperar hasta conocer la dimensión económica completa del ataque.
- Borrar evidencias: formatear equipos, eliminar logs o reinstalar sistemas sin preservar información.
- Contratar servicios sin revisar la póliza: algunas garantías establecen proveedores o procedimientos concretos.
- Pagar una extorsión por iniciativa propia: además de las implicaciones legales y de seguridad, cualquier decisión de pago debe revisarse previamente con los especialistas correspondientes y conforme a las condiciones de la póliza.
- Restaurar demasiado pronto: recuperar una copia infectada puede reactivar el incidente.
- No registrar los gastos: honorarios técnicos, horas extraordinarias, comunicaciones o recuperación deben poder acreditarse.
- Dar versiones contradictorias: la información dirigida a aseguradora, proveedores, autoridades y afectados debe basarse en una cronología común y verificable.
- Ocultar circunstancias relevantes: informar tarde o de forma incompleta puede dificultar la investigación y valoración del siniestro.
Qué hacer tras un ciberataque en una empresa: protocolo de las primeras 24 horas
- Confirma el incidente. Determina qué alerta existe y evita asumir que todos los sistemas están comprometidos.
- Activa al responsable interno. Centraliza las decisiones y evita respuestas improvisadas por departamentos diferentes.
- Aísla los activos afectados. Contén la propagación sin destruir información necesaria para investigar.
- Preserva evidencias. Guarda logs, correos, capturas, mensajes, fechas, direcciones IP y registros disponibles.
- Abre una cronología del incidente. Anota decisiones, responsables y horas desde el primer momento.
- Revisa la póliza de ciberriesgo. Localiza el procedimiento de notificación, teléfonos de emergencia, límites y proveedores autorizados.
- Comunica el siniestro al corredor o aseguradora. No esperes a disponer del informe técnico definitivo.
- Valora la afectación a datos personales. Involucra al responsable de privacidad o al DPO, cuando proceda, si existe posibilidad de una brecha de datos personales.
- Coordina la investigación técnica. Determina vector de entrada, persistencia, sistemas afectados y momento probable del compromiso.
- Controla los gastos extraordinarios. Registra proveedor, concepto, fecha e importe desde el comienzo.
- Planifica la recuperación. Prioriza sistemas esenciales y utiliza únicamente copias cuya integridad haya sido comprobada.
- Centraliza las comunicaciones. Decide quién puede informar a empleados, clientes, proveedores, aseguradora y autoridades.
¿Qué métricas conviene registrar durante un ciberincidente?
Estas referencias no son límites legales ni condiciones de cobertura. Sirven como indicadores internos de capacidad de respuesta y ayudan posteriormente a analizar el incidente y mejorar el protocolo.
| Métrica | Cómo medirla | Referencia interna orientativa |
|---|---|---|
| Tiempo de detección | Desde la primera actividad identificada hasta la alerta | Reducirlo en cada revisión del protocolo |
| Tiempo de escalado | Desde la alerta hasta la activación del responsable | Minutos, no horas, en incidentes críticos |
| Tiempo de contención | Desde la detección hasta limitar la propagación | Seguimiento por severidad del incidente |
| Tiempo de comunicación al seguro | Desde la detección del incidente hasta su comunicación al corredor o aseguradora | Lo antes posible conforme a póliza |
| Activos afectados | Número de equipos, cuentas, servicios y aplicaciones comprometidos | Inventario actualizado durante todo el incidente |
| Tiempo de indisponibilidad | Horas en las que un proceso crítico permanece interrumpido | Comparar con RTO definido por la empresa |
| Pérdida potencial de datos | Diferencia entre el último dato válido y el punto recuperable | Comparar con RPO definido |
| Coste extraordinario | Gastos técnicos, legales, operativos y de comunicación | Registro documental del 100 % de partidas relevantes |
Respuesta directa para una situación de emergencia
Si necesitas saber qué hacer tras un ciberataque en una empresa, estas son las tres actuaciones que conviene priorizar:
Contén el ataque, conserva las pruebas y comunica inmediatamente el incidente siguiendo la póliza antes de tomar decisiones irreversibles o asumir gastos importantes.
En 3 pasos
- Contener: aislar los sistemas afectados y limitar la propagación.
- Documentar: conservar evidencias, cronología, sistemas afectados y gastos.
- Notificar: activar corredor, aseguradora y, cuando proceda, obligaciones legales de protección de datos.
Errores comunes
- Esperar varios días antes de comunicar el incidente.
- Borrar o modificar evidencias relevantes.
- Restaurar copias sin comprobarlas.
- Contratar proveedores sin comprobar las condiciones de la póliza.
- Confundir contención rápida con recuperación precipitada.
Preguntas frecuentes sobre ciberataques y ciberseguro
¿Cuánto tiempo tengo para comunicar un ciberataque al seguro?
La Ley de Contrato de Seguro establece con carácter general un plazo máximo de siete días desde que se conoce el siniestro, salvo que la póliza establezca un plazo más amplio. En ciberriesgos es recomendable comunicarlo mucho antes porque puede ser necesario activar asistencia técnica, legal o forense desde las primeras horas.
¿Tengo que conocer el alcance completo antes de avisar?
No. La comunicación inicial puede realizarse con la información disponible y ampliarse a medida que avance la investigación. Esperar a tener todas las respuestas puede retrasar innecesariamente la activación del siniestro.
¿Debo apagar inmediatamente todos los equipos?
No existe una respuesta válida para todos los incidentes. La prioridad es contener la propagación y preservar evidencias. Las decisiones técnicas deberían tomarse de forma coordinada por personal especializado.
¿El seguro cubre cualquier ataque de ransomware?
No necesariamente. La cobertura depende de las garantías contratadas, exclusiones, límites, medidas de seguridad declaradas y circunstancias concretas del siniestro. La existencia de una póliza de ciberriesgo no implica cobertura automática de cualquier incidente.
¿Puedo contratar directamente una empresa forense?
Antes conviene comprobar la póliza y contactar con el corredor o aseguradora. Algunas pólizas disponen de redes de proveedores o requieren autorización previa para determinados gastos.
¿Cuándo tengo que notificar una brecha a la AEPD?
Cuando una violación de seguridad de los datos personales pueda suponer un riesgo para los derechos y libertades de las personas, el responsable del tratamiento debe notificarla a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ella.
¿Hay que comunicar siempre el ataque a los clientes afectados?
No siempre. La comunicación a las personas afectadas depende del nivel de riesgo. Cuando la brecha pueda entrañar un alto riesgo para sus derechos y libertades, el RGPD exige comunicarla sin dilación indebida.
¿Qué información solicitará normalmente la aseguradora?
La documentación concreta dependerá del caso y de la póliza, pero suele ser relevante la cronología del incidente, sistemas afectados, medidas adoptadas, informes técnicos, evidencias, posibles terceros perjudicados y gastos generados.
Antes del próximo incidente: prepara el protocolo
Saber qué hacer tras un ciberataque en una empresa requiere haber preparado previamente el protocolo de respuesta y conocer cómo activar el ciberseguro. Un procedimiento sencillo que defina responsables, teléfonos de emergencia, sistemas críticos, copias de seguridad y proceso de comunicación reduce improvisaciones cuando cada hora cuenta.
Peris puede ayudarte a revisar conjuntamente la cobertura de ciberriesgos, el mapa de riesgos y el procedimiento de respuesta para que la póliza esté conectada con la operativa real de la empresa.
Si ya tienes un ciberseguro, puede ser un buen momento para comprobar si tu procedimiento interno coincide realmente con las obligaciones y servicios previstos en la póliza.
Solicita a Peris una revisión de tu ciberseguro y del protocolo de respuesta antes de tener que activarlos en una emergencia.
Riesgos y límites
Este contenido es informativo y no sustituye la revisión de las condiciones generales, particulares y especiales de cada póliza, ni el asesoramiento jurídico, técnico o de protección de datos que pueda requerir un incidente concreto. Seguir este protocolo no garantiza una indemnización: la cobertura dependerá de la póliza vigente, de las circunstancias del siniestro, de sus exclusiones y del cumplimiento de las obligaciones contractuales aplicables.
