Un acceso no reconocido, una cuenta comprometida, archivos que dejan de estar disponibles o sistemas que comienzan a fallar pueden ser las primeras señales de un ciberataque.

Cuando ocurre, la reacción inmediata suele ser intentar recuperar cuanto antes la normalidad. Sin embargo, actuar sin un orden definido puede ampliar el daño, eliminar información útil para investigar lo sucedido o incluso permitir que el atacante mantenga acceso a otros sistemas.

Por eso, las primeras horas deberían seguir una lógica clara: contener el incidente, determinar su alcance, proteger la información y mantener funcionando los procesos críticos mientras se inicia una recuperación segura.

Contener el incidente sin perder evidencia

Una vez detectado un posible ciberataque, la prioridad es impedir que continúe propagándose. Esto puede implicar aislar equipos o sistemas comprometidos, restringir accesos o separar temporalmente determinados segmentos de la red.

Lo que conviene evitar es comenzar inmediatamente a borrar archivos, formatear equipos o modificar sistemas sin conocer el alcance del incidente. Registros de acceso, alertas, actividad de red y otra información técnica pueden ser necesarios para determinar cómo ocurrió el ataque y qué otros sistemas podrían estar comprometidos.

Siempre que el aislamiento pueda realizarse de forma segura, mantener los equipos afectados encendidos puede ayudar a preservar información volátil útil para una investigación. Si no existe otra forma de detener la propagación, el equipo técnico deberá evaluar si apagarlos es la alternativa menos riesgosa.

Además de contener, es importante documentar desde el inicio qué ocurrió, cuándo fue detectado y qué acciones se están tomando.

Entender qué fue comprometido

Una vez controlado el riesgo inmediato, la empresa necesita conocer la dimensión real del incidente. Algunas preguntas ayudan a ordenar esa evaluación:

• ¿Qué equipos, sistemas o cuentas fueron afectados?
• ¿Hubo acceso, modificación, cifrado o extracción de información?
• ¿Existen datos personales involucrados?
• ¿Qué procesos del negocio dejaron de funcionar?
• ¿Qué servicios necesitan recuperarse primero?

Esta evaluación permite establecer prioridades, decidir qué equipos deben permanecer aislados y determinar si existen obligaciones legales o regulatorias.

Si hay datos personales, existen obligaciones específicas en Perú

Cuando un incidente compromete datos personales, la respuesta deja de ser exclusivamente tecnológica.

El Reglamento de la Ley de Protección de Datos Personales establece que, en determinados supuestos —por ejemplo, cuando se exponen grandes volúmenes de datos, se afecta a un gran número de personas, se involucran datos sensibles o puede producirse un perjuicio evidente sobre otros derechos o libertades de los titulares—, el responsable debe notificar el incidente a la Autoridad Nacional de Protección de Datos Personales (ANPD).

En estos casos, la notificación debe realizarse como máximo dentro de las 48 horas posteriores a haber tomado conocimiento o constancia del incidente. Si el incidente de datos personales ocurre en o mediante el entorno digital, la norma también establece la notificación al Centro Nacional de Seguridad Digital (CNSD).

Esto no significa que cualquier ciberataque deba reportarse automáticamente bajo estas condiciones: cada caso debe evaluarse según la información comprometida y sus posibles consecuencias.

Además, la normativa exige documentar los hechos relacionados con el incidente, sus efectos y las medidas adoptadas. El CNSD cuenta actualmente con un formulario de reporte que puede ser utilizado por empresas privadas y que recoge, entre otros datos, el activo afectado, la criticidad del evento y si existen datos personales involucrados.

Mantener la operación mientras se investiga

Mientras el incidente es investigado, la empresa puede seguir necesitando facturar, atender clientes, procesar pagos, gestionar pedidos o acceder a determinados servicios. En ese momento, el problema deja de ser únicamente tecnológico y pasa a afectar la continuidad del negocio.

La organización debería saber cuáles son sus procesos realmente críticos, qué sistemas necesita para mantenerlos y qué alternativas existen si la infraestructura habitual debe permanecer temporalmente aislada.

No siempre será posible recuperar todo inmediatamente. En una situación crítica, puede ser más importante restablecer primero los procesos indispensables y continuar operando de forma limitada, pero segura.

Esta lógica también está presente en las iniciativas oficiales de preparación. En julio de 2026, el Centro Nacional de Seguridad Digital lideró el SIMAC 2026, un ejercicio que reunió a 152 entidades y puso a prueba capacidades de detección, respuesta, contención y recuperación frente a escenarios de ciberataques.

La mirada de un especialista

Para Joel Mayta, Subgerente de Redes, Comunicaciones y Soporte Técnico de Consejeros y Corredores de Seguros, una adecuada respuesta debe concentrarse en tres aspectos: contener el incidente, preservar la información necesaria para investigarlo y disponer de alternativas que permitan sostener las operaciones críticas.

Cuando sea posible hacerlo de manera segura, recomienda aislar los sistemas comprometidos sin apagarlos inmediatamente, ya que reiniciar o apagar determinados equipos puede eliminar información almacenada en memoria o procesos activos útiles para una investigación posterior.

También destaca la importancia de conservar registros de autenticación, actividad de red, información de firewalls y otras evidencias técnicas antes de intentar limpiar o restaurar los sistemas. Estas acciones deben quedar en manos de personal especializado.

Otro punto es la comunicación: si existe la posibilidad de que las cuentas o herramientas corporativas hayan sido comprometidas, coordinar la respuesta por esos mismos canales puede exponer las acciones de defensa. En ese escenario, conviene utilizar medios alternativos y seguros.

Para mantener el negocio funcionando mientras el entorno afectado permanece aislado, Mayta plantea trabajar en un “modo degradado pero seguro”: recuperar únicamente los servicios esenciales desde un entorno confiable o de contingencia mientras los sistemas comprometidos permanecen bajo investigación.

Cuando un problema tecnológico se convierte en una pérdida económica

Un ciberataque puede seguir generando consecuencias incluso después de recuperar los sistemas. La empresa puede afrontar costos de investigación forense, especialistas externos, restauración de información, asesoría legal, gestión de crisis o reclamaciones de terceros.

Si además la operación permanece detenida durante horas o días, pueden producirse pérdidas asociadas a la interrupción del negocio. Es ahí donde el riesgo tecnológico se convierte también en un riesgo financiero.

Dentro de una estrategia integral de gestión de riesgos, un seguro de riesgos cibernéticos o seguro cyber puede ayudar a transferir parte de esas consecuencias económicas.

En el mercado peruano existen pólizas empresariales que, dependiendo de sus condiciones, pueden contemplar coberturas relacionadas con daño o pérdida de datos, recuperación de activos digitales, investigación y atención del incidente, responsabilidad frente a terceros, defensa legal, ciberextorsión e interrupción del negocio.

No todas las pólizas responden de la misma manera. Antes de contratar, resulta importante conocer qué información maneja la empresa, cuáles son sus sistemas críticos, cuánto podría costarle una interrupción y qué responsabilidades podría enfrentar frente a clientes u otros terceros. A partir de esa exposición pueden evaluarse coberturas, límites, deducibles, exclusiones y requisitos de seguridad.

El seguro cyber no reemplaza las medidas de ciberseguridad ni un plan de respuesta. Su función es complementarlas y ayudar a gestionar el impacto financiero cuando un incidente ocurre.

La mejor respuesta empieza antes del ataque

Muchas de las decisiones necesarias durante una crisis son difíciles de improvisar. Por eso, una empresa debería prepararse antes de enfrentarse a un incidente mediante medidas como:

• Mantener backups actualizados y probar periódicamente su restauración.
• Conservar copias protegidas o desconectadas de los sistemas principales.
• Implementar autenticación multifactor (MFA).
• Segmentar redes y controlar los privilegios de acceso.
• Definir responsables y canales alternativos de comunicación.
• Identificar los sistemas y procesos críticos.
• Contar con planes de respuesta y continuidad.
• Capacitar periódicamente a los colaboradores.
• Revisar la exposición financiera y las coberturas de seguros.

Un ciberataque puede comenzar en una computadora, pero sus consecuencias pueden alcanzar información, clientes, operaciones y resultados financieros.

Por eso, la ciberseguridad ya no debería verse únicamente como una responsabilidad del área de TI, sino como parte de una gestión empresarial que combine prevención, respuesta, continuidad y transferencia del riesgo.

Si tu empresa quiere revisar su exposición frente a riesgos cibernéticos y evaluar alternativas de protección, puedes conversar con un especialista de Consejeros.

Fuentes consultadas

• Fuentes: Autoridad Nacional de Protección de Datos Personales, Presidencia del Consejo de Ministros, Centro Nacional de Seguridad Digital, CISA, RIMAC y Chubb Perú.
• Joel Mayta, Subgerente de Redes, Comunicaciones y Soporte Técnico de Consejeros y Corredores de Seguros. Aportes técnicos para este artículo.