Un ransomware ha cifrado producción y los atacantes exigen un pago. ¿Cómo aborda el CISO la decisión de pagar?
Respuesta breve
No decidas con pánico ni en solitario. Involucra a asesoría jurídica y a las fuerzas de seguridad, y comprueba la exposición a sanciones antes de cualquier pago: la OFAC considera que facilitar pagos a partes sancionadas es una posible infracción con responsabilidad objetiva, y valora como atenuantes un reporte espontáneo y oportuno a las fuerzas de seguridad, plena cooperación y buenas prácticas de seguridad. Después decide con base en el impacto de negocio documentado, con el consejo informado.
Los entrevistadores usan este escenario para ver si un CISO trata el pago de un rescate como una decisión de gobierno con consecuencias legales y no como una decisión puramente operativa.
Por qué primero asesoría jurídica, fuerzas de seguridad y sanciones
El aviso actualizado de la OFAC sobre pagos de ransomware explica que realizar o facilitar un pago puede crear riesgo de sanciones, y que la OFAC puede imponer sanciones civiles con responsabilidad objetiva (strict liability), es decir, una organización que no sabía que el destinatario estaba sancionado puede quedar expuesta. El aviso considera atenuantes significativos un reporte completo, oportuno y espontáneo a las fuerzas de seguridad, la cooperación con las autoridades y prácticas de seguridad significativas previas al ataque. Anima a reportar los incidentes con prontitud y a documentar las inversiones de seguridad y la respuesta al incidente.
Un enfoque sólido
- Contener y evaluar primero el incidente; establecer qué está cifrado, qué se ha exfiltrado y qué puede restaurarse desde copias de seguridad.
- Involucrar a asesoría jurídica y al equipo de respuesta a incidentes, y reportar a las fuerzas de seguridad.
- Comprobar la exposición a sanciones antes de cualquier pago y valorar si procede una licencia.
- Decidir con base en el impacto de negocio documentado, con la dirección y el consejo informados; registrar la justificación, las opciones consideradas y quién aprobó.
Por qué fallan los distractores
- «Pagar discretamente» ignora la responsabilidad objetiva: la exposición no depende de una atribución posterior.
- «Negarse y callar» puede omitir los reportes regulatorios, contractuales y a las fuerzas de seguridad, y una regla absoluta no es una decisión.
- «Delegar en TI» aparta a los responsables legales, financieros y de reputación de una decisión que les corresponde.
Qué quieren los entrevistadores
Una respuesta serena y basada en proceso: asesoría jurídica y fuerzas de seguridad desde el principio, sanciones comprobadas, decisión documentada y asumida a nivel ejecutivo.
Posibles preguntas de seguimiento
- ¿Qué significa responsabilidad objetiva en el contexto de las sanciones de la OFAC y por qué importa aunque usaras un negociador?
- ¿Qué querrías documentado antes y después de la decisión y a quién hay que informar?
- ¿Cómo cambian las copias de seguridad probadas y los planes de recuperación el cálculo de pagar o no?