Usted se fue a la playa. Ellos no

Y mientras usted estaba sin señal en Jacó, alguien estuvo muy ocupado dentro de su red.

El gerente de TI de una empresa financiera ficticia —llamémosla Inversiones Bóveda— regresó este lunes con la piel todavía con olor a bloqueador, el cooler vacío en el carro y una tranquilidad de esas que solo da el mar. Duró exactamente dieciséis minutos. Eso fue lo que tardó en abrir el correo y encontrar 47 alertas sin atender, tres mensajes de proveedores preguntando si había "algún problema con los sistemas" y una notificación que nadie había visto desde el Jueves Santo.

La Semana Santa en Costa Rica es sagrada en el sentido más literal y en el más coloquial. El país se detiene. Las oficinas cierran, los correos quedan en modo automático, los equipos de guardia se reducen al mínimo y la atención de todos migra, con toda la razón del mundo, hacia la familia, la playa y el descanso. Es parte de nuestra cultura y no hay nada malo en eso.

El problema es que los ciberataques no agarran feriado. De hecho, algunos de los incidentes más graves documentados a nivel regional han ocurrido precisamente durante períodos de baja guardia: fines de semana largos, diciembre, Semana Santa. No es coincidencia. Es estrategia.

Los actores maliciosos desde grupos de ransomware organizados hasta atacantes oportunistas saben perfectamente que entre el Jueves y el Domingo Santo la capacidad de respuesta de la mayoría de las organizaciones cae en picada. Los analistas de seguridad están desconectados. Los procesos de escalamiento son lentos. Y lo más peligroso: nadie está mirando las alertas con la misma atención con que las mira un martes de febrero a las diez de la mañana.

Y aquí aparece una frase que se escucha con demasiada frecuencia en salas de reuniones: "a mí eso no me va a pasar." Es la frase favorita de quienes nunca han vivido un incidente serio. También es, curiosamente, la frase que más repiten las organizaciones que terminan en los titulares. Nadie planea ser víctima. Pero los atacantes no necesitan que usted lo planee solo necesitan que usted baje la guardia.

Aquí es donde entra un concepto que viene del combate aéreo pero que aplica con una precisión inquietante a la ciberseguridad y la continuidad de negocio: el OODA Loop. Desarrollado por el coronel John Boyd, propone que toda decisión bajo presión pasa por cuatro etapas —Observar, Orientarse, Decidir y Actuar y que quien completa ese ciclo más rápido que su adversario, gana. Siempre.

Durante Semana Santa, el ciclo OODA de muchas organizaciones costarricenses queda en pausa voluntaria. El de los atacantes, no. Ellos observan, se orientan, deciden y actúan durante los cuatro días que todos estamos en Guanacaste. Para cuando el equipo de TI regresa el lunes con el cooler vacío, el adversario puede llevar 72 horas moviéndose libremente dentro de la red.

El caso ficticio de Inversiones Bóveda ilustra exactamente ese problema. La notificación que nadie vió el Jueves Santo no era una alarma crítica de primer nivel. Era una alerta media, de esas que en una semana normal alguien hubiera revisado en menos de dos horas. Pero en feriado, quedó enterrada. Y esa alerta media era el primer indicador visible de un movimiento lateral dentro de la red que llevaba operando desde el miércoles.

Entonces, ¿qué se puede hacer distinto? Lo primero es aceptar que los períodos de baja operación deben estar contemplados explícitamente en el plan de continuidad de negocio. Antes de salir de vacaciones, toda organización debería definir quién tiene guardia activa, con número de celular real no correo corporativo que nadie abre en la playa y con autoridad clara para tomar decisiones si algo escala.

Lo segundo es revisar los umbrales de alerta antes del feriado. Una alerta que normalmente se atiende en cuatro horas hábiles no puede tener el mismo tratamiento cuando no hay nadie mirando por cuatro días. Bajar ese umbral temporalmente, de forma que las alertas medias escalen con más rapidez durante períodos críticos, puede ser la diferencia entre contener un incidente el jueves o encontrar el desastre el lunes.

Lo tercero, y quizás lo más ignorado, es verificar que los respaldos estén al día y que preferiblemente sigan una regla que en el mundo de la seguridad se conoce como el esquema 3-2-1: tener tres copias de la información, almacenadas en dos tipos de medios distintos, con al menos una copia ubicada fuera de las instalaciones o en la nube, completamente aislada de la red principal. Suena a detalle técnico, pero es la red de protección más concreta que existe cuando un ransomware llega en feriado y el equipo descubre, ya de regreso, que el último respaldo accesible tiene tres semanas y vive en el mismo servidor que acaban de cifrar.

El gerente de TI de Inversiones Bóveda logró contener el incidente. Tardó tres días más de lo necesario. El costo no fue solo técnico: fue reputacional, regulatorio y humano — porque nadie quiere pasar su lunes de regreso apagando un incendio que pudo sofocarse con un balde de agua cuatro días antes.

Los atacantes no necesitan que usted trabaje en feriado. Solo necesitan que nadie esté mirando. Y esa ventana de silencio que nosotros llamamos descanso, ellos la llaman oportunidad.

Ing. Luis Diego Flores, M.Sc.