Qué revisar antes de volver a conectar un sistema afectado
Antes de volver a conectar un sistema afectado, verifica que la causa abordada, los accesos revisados y la recuperación técnica permiten un retorno controlado.
Equipo enginerIT· 2 min de lectura
Antes de volver a conectar un sistema afectado, verifica que la causa abordada, los accesos revisados y la recuperación técnica permiten un retorno controlado. Que el equipo arranque o que un análisis no encuentre malware no basta. Necesitas una aprobación con pruebas, límites conocidos y una forma de volver a aislarlo.
Convierte el retorno en una decisión explícita
Identifica servicio, propietario y persona que acepta el riesgo residual. Exige al responsable técnico una relación de medidas aplicadas: reconstrucción o limpieza, corrección de la entrada, revisión de persistencia y tratamiento de accesos comprometidos según el caso. Si la causa sigue desconocida, no la declares corregida; documenta qué incertidumbre queda y qué restricciones compensan temporalmente esa falta de conocimiento.
Comprueba también lo que vas a restaurar
Revisa origen, fecha e integridad de las copias o imágenes utilizadas y su relación con el periodo del incidente. NIST SP 800-61r3 contempla comprobar los activos de restauración y corregir causas antes del uso en producción. Una copia anterior al aviso puede contener una intrusión anterior. Separa restaurar datos de volver a ejecutar programas, tareas programadas o configuraciones que podrían reproducir el problema.
Prueba en un alcance limitado
Antes de dar acceso general, verifica autenticación, permisos, protección activa, envío de registros y función de negocio con una operación controlada. Comprueba lectura y escritura cuando ambas sean necesarias, sin crear pagos ni comunicaciones reales por accidente. Define qué señales harán detener el retorno: reaparición de indicadores, conexiones no justificadas o inconsistencias de datos. Conserva el resultado de las pruebas, no solo la marca de completado.
Acompaña la reconexión con vigilancia y relevo
Autoriza quién conecta, en qué ventana y con qué restricciones iniciales. Avisa al soporte y al responsable operativo; fija un periodo de observación según el riesgo y la cobertura disponible, sin inventar un plazo universal. Si aparece otra señal, debe estar claro quién aísla de nuevo. Cuando el servicio opere, deja abiertas las mejoras que no bloquean el retorno con dueño y fecha. La reconexión técnica y el cierre de la investigación pueden ocurrir en momentos distintos.
Comprobaciones para cerrar la tarea
- ✓ La entrada y las persistencias revisadas tienen evidencia de tratamiento.
- ✓ Se ha probado la operación de negocio y el envío de registros.
- ✓ Hay aprobador, condiciones de retorno y criterio de nuevo aislamiento.
Fuentes y documentación
- NIST · SP 800-61 Rev. 3 — Registro y preservación de evidencias, recuperación, coordinación con terceros y criterios de cierre.
Aplicarlo en tu empresa
Podemos revisar el entorno y acordar qué actuaciones, validaciones y mantenimiento necesitas.
Conocer el servicio relacionado →