Klytic

Inicio›Guías›Documentos y gestión documental

Documentos y gestión documental · Comprender

Proteger una gestión documental contra un ransomware y restaurarla

Una gestión documental se protege con un conjunto de medidas: cuentas y permisos que limitan lo que un atacante puede cifrar, enlaces y equipos sincronizados bajo control, una copia de seguridad fuera del alcance de la cuenta comprometida. La restauración es un orden de operaciones: contener, elegir un punto anterior al cifrado, restaurar, verificar, reabrir. Lo producido entre ese punto y el incidente se pierde o hay que reconstruirlo.

Actualizado en octubre de 20267 minFuentes oficiales citadas

Lo que un ransomware hace a una gestión documental

Un ransomware cifra los archivos a los que tiene acceso y después exige un rescate a cambio de la clave. En una gestión documental, actúa con los permisos de la cuenta o del equipo que ha infectado. Tres mecanismos agravan los daños:

  • la sincronización: el equipo infectado cifra su copia local y después el cliente de sincronización envía los archivos cifrados al servidor, como una modificación normal, y de ahí a los demás dispositivos;
  • el historial: cada archivo cifrado se convierte en una nueva versión. La versión anterior puede salvar la situación, salvo si el atacante tiene permisos suficientes para purgar el historial y la papelera;
  • la copia de seguridad: la ANSSI observa que un atacante busca a menudo cifrar, borrar o inutilizar la infraestructura de copia de seguridad para impedir la reconstrucción.

Algunos ataques también copian datos antes de cifrarlos. La restauración devuelve los archivos a su estado. No resuelve esa parte, que corresponde a la gestión de crisis y, si hay datos personales, al RGPD.

Reducir el radio de acción

No se puede prometer que ningún equipo será infectado. Sí se puede limitar lo que un equipo o una cuenta infectados pueden alcanzar.

Los permisos de escritura

Una cuenta que solo puede leer una carpeta no puede cifrarla. Las carpetas de referencia (modelos, procedimientos, contratos firmados) pueden ser de solo lectura para la mayoría de las personas. Los permisos se asignan por grupo y por carpeta, no con «todo el mundo lo modifica todo».

Las cuentas de administración

La ANSSI recomienda limitar estas cuentas a lo estrictamente necesario. Deben ser nominativas, estar protegidas con autenticación de doble factor y no utilizarse para el trabajo diario.

Los enlaces externos

Un enlace que da permiso de modificación a un desconocido es una puerta. Los enlaces que salen tienen contraseña, fecha de caducidad y, en general, solo permiso de lectura.

Los equipos sincronizados

Sincronice en cada equipo solo las carpetas útiles. Deje las carpetas sensibles en el navegador. Instale las actualizaciones rápido: la ANSSI recuerda que es crucial hacerlo en un plazo corto y según un proceso controlado. La puerta de entrada más frecuente sigue siendo el correo electrónico: véase adjuntos, enlaces y ransomware.

Por qué la copia de seguridad debe estar fuera de alcance

Una copia de seguridad accesible con la misma cuenta que la producción se cifrará junto con ella. Tres separaciones la ponen a salvo:

  • otra identidad: la ANSSI exige cuentas de administración de copias nominativas y dedicadas, y una infraestructura independiente de los directorios de producción;
  • la inmutabilidad: una copia escrita ya no puede modificarse ni eliminarse durante su plazo de conservación;
  • otro emplazamiento y, si es posible, una copia sin conexión: la ANSSI la considera indispensable y más robusta que una copia inmutable que permanece en línea.

Queda la profundidad. Una intrusión puede permanecer discreta varias semanas antes del cifrado. Si la retención es más corta que ese plazo, todas las copias disponibles pueden contener al atacante o archivos ya dañados.

El orden de recuperación

La restauración no es un botón. Es una serie de etapas, y el orden importa.

  1. Contener. Aislar de la red los equipos infectados, suspender las cuentas comprometidas, desactivar la sincronización y los enlaces externos del ámbito afectado. La ANSSI aconseja también llevar un registro de incidencias con fecha y hora, desconectar los soportes de copia tras comprobar que están sanos y evitar apagar las máquinas, lo que puede borrar rastros útiles.
  2. Fechar el inicio. Identificar el primer archivo cifrado, la cuenta y el equipo implicados. Es lo que fija el punto de restauración.
  3. Elegir el punto de restauración anterior al cifrado, con un margen si la fecha es incierta.
  4. Restaurar en un entorno sano. La ANSSI recomienda reinstalar desde un soporte conocido y después restaurar los datos desde una copia anterior al compromiso. Cuando la herramienta lo permite, restaurar solo el ámbito afectado evita sobrescribir el trabajo hecho en otros lugares desde entonces.
  5. Verificar. Abrir archivos al azar, comprobar que no queda ningún archivo cifrado, corregir la brecha de entrada, cambiar las contraseñas.
  6. Reabrir los accesos de forma progresiva. Los equipos se vuelven a sincronizar a partir del servidor restaurado, nunca al revés. Un equipo no limpiado que se reconecta vuelve a enviar sus archivos cifrados.

Paralelamente, la ANSSI recomienda no pagar nunca el rescate, conservar los datos cifrados (una clave puede publicarse más adelante), presentar una denuncia y hacer que la célula de crisis notifique a la CNIL en caso de violación de datos personales.

Lo que se pierde: el RPO en la práctica

Caso hipotético. Un despacho de veinte personas hace copia de seguridad de sus documentos cada hora. El lunes, a las 9:15, un equipo sincronizado empieza a cifrar la carpeta «Clientes». La alerta se da a las 10:05.

El último punto sano es la copia de las 9:00. La carpeta «Clientes» vuelve a su estado de las 9:00. Las modificaciones hechas entre las 9:00 y las 9:15 en esa carpeta se pierden. Las hechas en las demás carpetas no, si la restauración se limita a la carpeta afectada. La secretaria que guardó tres cartas a las 9:10 las recupera en su correo y las vuelve a depositar.

Eso es lo que mide el RPO, la pérdida de datos máxima admisible: la distancia entre el punto de restauración y el incidente. El RTO, la duración máxima de interrupción admisible, mide otra cosa: el tiempo hasta que los equipos vuelven a trabajar. Ambos se deciden antes del incidente, no durante.

Los errores frecuentes

  • Restaurar antes de contener. El equipo que sigue conectado vuelve a cifrar los archivos restaurados.
  • Resincronizar desde el equipo infectado. La copia local es la copia cifrada.
  • Contar con la papelera. No contiene los archivos modificados, solo los eliminados.
  • Descubrir la retención el día D. Si la intrusión tiene seis semanas y la retención es de treinta días, la elección del punto de restauración se complica.

Preguntas frecuentes

¿Basta el versionado contra un ransomware?

Ayuda si el historial está intacto. No basta si el atacante ha podido purgarlo. La diferencia se explica en versionado, replicación y copia de seguridad.

¿Hay que pagar el rescate?

La ANSSI recomienda no pagarlo nunca. Pagar no garantiza ni la clave ni la ausencia de un nuevo ataque.

¿Cómo limitar quién puede modificar una carpeta?

Mediante los permisos por grupo y por carpeta. Véase definir quién ve qué documentos.

¿Cómo evitar que un enlace sirva de puerta de entrada?

Con una contraseña, una fecha de caducidad y un permiso de solo lectura. Véase enlaces para compartir, socios y descargas.

Dónde se sitúa Klytic

En Klytic Docs, las copias de seguridad se hacen cada hora. Están cifradas, son inmutables, se replican en varios emplazamientos, están supervisadas, se conservan 30 días y las restauraciones se prueban cada mes. Los objetivos son un RPO inferior a 2 horas para los documentos y un RTO inferior a 4 horas. La restauración se solicita al soporte de Klytic, indicando el ámbito y la fecha aproximada. Está incluida cuando la pérdida se debe a un fallo del servicio Klytic. Tras un ransomware o una cuenta pirateada en su organización, la recuperación también está incluida si sus equipos estaban correctamente protegidos: actualizaciones aplicadas, antivirus activo. Si no lo estaban suficientemente, requiere un ticket de asistencia de pago, como una restauración tras una manipulación errónea. El detalle está en la página seguridad y copia de seguridad.

En cuanto a la prevención, Klytic Docs ofrece permisos por persona, por grupo y por carpeta, autenticación de doble factor, un registro de accesos y enlaces protegidos con contraseña y fecha de caducidad. Por parte de Klytic, los accesos técnicos se limitan a las operaciones de explotación y soporte, son nominativos y quedan registrados.

Los límites: treinta días de retención no cubren un compromiso descubierto más tarde. Klytic restaura sus servicios; la limpieza de sus equipos, su red y su directorio corresponde a su equipo informático o a su proveedor. Klytic no es una oferta cualificada SecNumCloud.

Esta página describe un marco general. En caso de incidente, siga su plan de recuperación y las instrucciones de las autoridades competentes.

Fuentes

Consultadas en octubre de 2026.

  • ANSSI y Ministerio de Justicia francés (DACG), «Attaques par rançongiciels, tous concernés» (Ataques de ransomware: todos afectados), 2020: copias de seguridad desconectadas, limitación de las cuentas de administración, actualizaciones rápidas; en caso de incidente, registro de incidencias, aislamiento, no apagar las máquinas, conservación de los datos cifrados, no pagar, denuncia, restauración desde una copia anterior al compromiso. messervices.cyber.gouv.fr
  • ANSSI, «Sauvegarde des systèmes d’information» (Copia de seguridad de los sistemas de información), guía ANSSI-BP-100, v1.1: el atacante apunta a menudo a la infraestructura de copia de seguridad; cuentas dedicadas; copia sin conexión más robusta que el WORM en línea; PDMA y DMIA. messervices.cyber.gouv.fr
  • Klytic, Seguridad y copia de seguridad: copias inmutables, cifradas, replicadas, 30 días, restauraciones probadas cada mes, RTO inferior a 4 h, RPO inferior a 2 h. klytic.com
  • Klytic, Alojamiento y soberanía: accesos técnicos limitados a la explotación y al soporte, nominativos y registrados. klytic.com

Preparar la recuperación antes del incidente

Hagamos balance de sus permisos, sus enlaces y su retención.

Hablar con un asesor →

Seguridad y copia de seguridad

Lea también

Comprender · Documentos y gestión documentalVersionado, replicación y copia de seguridad de los documentosTres mecanismos, tres fallos. Por qué una gestión documental que ya guarda versiones debe tener igualmente copia de seguridad, fallo por fallo.6 min de lecturaLeer →Utilizar · Documentos y gestión documentalDefinir quién ve qué documentosEn Klytic Docs, los accesos se definen por cuenta, por grupo y por carpeta de equipo. Quién administra, qué permisos asignar y cómo revisar los accesos.6 min de lecturaLeer →Utilizar · Documentos y gestión documentalEnlaces para compartir, socios y descargasCompartir internamente, enviar un enlace protegido al exterior, trabajar con un socio y evitar el uso compartido accidental en Klytic Docs.7 min de lecturaLeer →

Oferta de bienvenida

30 días de prueba gratuita, migración acompañada

Oferta de prueba sin compromiso. Un asesor le llamará para entender sus necesidades y preparar su espacio Klytic.

🚀 Empezar la prueba gratuita Ver las tarifas