Abrir menú Cerrar menú
Volver a los recursos

Checklist Taller 5 · Cómo actuar ante un ciberataque

Checklist de preparación ante incidentes

Siete áreas para comprobar si tu empresa está preparada para responder a un ciberataque, cuatro preguntas en cada una y tres respuestas posibles: Implantado, Parcial o No implantado. Al terminar sabrás qué tienes en verde, en ámbar o en rojo, y qué preparar primero.

5 min de lectura

Descargar en Word (editable) Descargar en Excel (editable)

Puedes adaptarlo a tu empresa. También puedes imprimir esta página o guardarla como PDF desde tu navegador.

Cómo funciona

Puedes hacerlo todo bien y, aun así, sufrir un incidente. Lo que marca la diferencia es lo preparado que estás para responder: quién coordina, qué se hace en las primeras horas, a quién se llama, qué se dice y desde qué copia se recupera. Estas son las medidas que trabajamos en el Taller 5, y casi todas se preparan en frío, con papel y teléfono.

Responde cada pregunta con «Implantado», «Parcial» o «No implantado», pensando en tu empresa tal y como está hoy. Ante la duda, elige la respuesta más baja: un rojo reconocido es justo lo que te dice por dónde empezar.

Responsable y protocolo

  • ¿Hay una persona responsable de coordinar un incidente, con un suplente, y lo sabe todo el equipo?
  • ¿Tenemos por escrito un protocolo básico de actuación, de una página, que cualquiera pueda seguir?
  • ¿El protocolo está impreso y en el móvil de gerencia, no solo en un ordenador que podría quedar cifrado?
  • ¿Sabemos qué hacer si el incidente llega fuera de horario, un fin de semana o en plena campaña?

Detección temprana y señales

  • ¿El equipo reconoce las señales de alerta: archivos que no se abren o cambian de extensión, una nota que pide un rescate, equipos que van lentos o «actúan solos»?
  • ¿Está claro a quién se avisa ante una sospecha, y avisar «por si acaso» nunca se reprocha?
  • ¿Prestamos atención también a las señales de la nave y de la oficina: básculas o trazabilidad paradas sin causa física, contraseñas que fallan a la vez, correos o pagos que nadie ha hecho?
  • ¿Los avisos del antivirus y los correos sospechosos llegan a alguien que los revisa?

Primeras horas y contención

  • ¿El equipo sabe que lo primero es aislar de la red el equipo afectado, quitando el cable y el wifi, y que aislar no es apagar?
  • ¿Sabemos que no se formatea, no se borra y no se reinstala nada hasta que lo vea quien sabe?
  • ¿Sabemos comprobar si hay más equipos afectados, y poner antes a salvo a las personas y las instalaciones?
  • ¿Hemos decidido en frío qué haríamos ante una petición de rescate, sabiendo que pagar no garantiza recuperar los datos?

Evidencias

  • ¿Sabemos abrir un registro de incidencias, en papel o en un móvil no afectado, con la hora de cada paso y quién lo dio?
  • ¿El equipo sabe hacer fotos con el móvil de la pantalla y de la nota de rescate antes de tocar nada?
  • ¿Sabemos conservar la nota de rescate, algún archivo cifrado de muestra y los correos sospechosos, sin reenviarlos a todo el mundo?
  • ¿Anotamos también los incidentes pequeños y las falsas alarmas, para aprender de ellos?

Contactos y autoridades

  • ¿Tenemos una agenda de emergencia con teléfonos reales: responsable y suplente, técnico o proveedor informático, banco y aseguradora?
  • ¿Tenemos apuntada la Línea 017 de INCIBE, gratuita y confidencial, que orienta y deriva a INCIBE-CERT cuando hace falta?
  • ¿Sabemos que un ciberataque se puede denunciar ante la Policía Nacional o la Guardia Civil, llevando el registro, las fotos y la nota?
  • ¿Sabemos quién notifica la brecha a la AEPD si hay datos personales afectados, por regla general en 72 horas?

Comunicación interna y externa

  • ¿Hay una sola persona portavoz, que es quien informa dentro y fuera de la empresa?
  • ¿Tenemos mensajes preparados en frío para la plantilla, las personas socias o agricultoras y los clientes?
  • ¿Tenemos un canal alternativo, como el teléfono, la mensajería o en persona, por si el correo está en manos del atacante?
  • ¿Avisaríamos al banco y a los proveedores para vigilar los pagos, recordando que un cambio de cuenta solo se acepta confirmándolo por teléfono?

Copias y recuperación

  • ¿Tenemos una copia de seguridad desconectada, que un ataque a la red no puede alcanzar?
  • ¿Hemos probado a restaurar esa copia en los últimos meses y sabemos cuánto tarda?
  • ¿Tenemos decidido el orden de recuperación: primero lo que sostiene la campaña, como la recepción, los pedidos y la trazabilidad?
  • ¿Sabemos seguir en modo manual, en papel, mientras se restaura, y cerrar la vía de entrada antes de reconectar?

Cómo sale el color de cada área

Mira las respuestas de cada área por separado. Sé exigente: una medida solo está implantada si funciona hoy, no si está prevista.

  • Verde (cubierto): todas las respuestas del área son «Implantado».
  • Ámbar (a medias): hay algún «Parcial» y ningún «No implantado».
  • Rojo (sin cubrir): hay al menos un «No implantado».

Por dónde empezar

No hace falta arreglarlo todo a la vez. Ponle un plazo a cada color, de lo que más daño evita a lo que menos:

  1. En los próximos 7 días, los rojos que no cuestan dinero: nombra a la persona responsable y a su suplente, y apunta la agenda de emergencia, con el 017, impresa y en el móvil. Empieza hoy por los teléfonos.
  2. En 15 días, el resto de los rojos, empezando por la copia desconectada y su prueba de restauración, y por los mensajes preparados.
  3. En 30 días, los ámbares, cuando los rojos estén en marcha.

Tus decisiones

Con los colores delante, elige entre 3 y 5 decisiones a 30 días y ponle un responsable a cada una. Para dejarlo por escrito, rellena la plantilla «Protocolo básico de actuación ante incidentes»; los teléfonos públicos que conviene apuntar están en «A quién llamar si sufres un incidente». Cuando pase el plazo, vuelve a pasar este checklist y comprueba qué colores han cambiado.

Programa presencial · Región de Murcia · 2026

Quiero participar