Eran cerca de las 8 de la mañana cuando llegaron. El data center llevaba horas encendido. El equipo de TI estaba adentro, agachado detrás de los racks, desconectando cables de red uno por uno. Casi todos.
Un ransomware había comprometido aproximadamente el 65% de los servidores durante la madrugada. La primera señal visible había sido las cámaras de seguridad, el servidor Dahua dejó de recibir respuesta del DNS y del NTP, y dejó de mostrar imagen. Los guardias llamaron a las 4:00 AM. El equipo llegó, diagnosticó, y tomó la única decisión posible: aislar físicamente la red antes de que la propagación llegara a lo que todavía podía salvarse.
Cuando la junta directiva apareció en el data center esa mañana y vio al equipo desconectando la infraestructura de red con las manos, el asombro fue genuino. No era reproche. Era la cara de quienes nunca habían visto, desde adentro, cómo se ve una crisis de infraestructura en tiempo real.
La respuesta institucional: carta abierta, cheque abierto
Días después del incidente, la junta directiva tomó una decisión que en circunstancias normales habría tardado años en aprobarse: carta abierta y cheque abierto. Sin restricciones de presupuesto, sin los ciclos habituales de justificación que cualquier área de TI conoce de memoria.
Se contrató una empresa consultora externa para medir el daño y trazar la remediación. El equipo de desarrollo, junto al PMO y al subgerente de TI, se concentró en levantar lo que podía en Azure, la organización había iniciado recientemente su instancia cloud, y la emergencia aceleró en semanas lo que el plan original ponía en meses. El encargado de ciberseguridad realizó, en conjunto con la consultora, la primera evaluación formal bajo CIS Controls que la organización había tenido. Nunca antes se había hecho.
La auditoría de infraestructura de red reveló lo que muchos sospechaban pero nadie había documentado formalmente: equipos Cisco con 12 o más años de antigüedad, varios con EOL completado y vencido hace tiempo, en producción crítica sin soporte de fabricante disponible. Con esa información (y el ransomware como contexto imposible de ignorar) la junta aprobó la renovación completa.
Se evaluaron alternativas. El firewall WatchGuard que estaba operativo fue reemplazado. Cisco con su plataforma de administración centralizada resultó de costo prohibitivo. Fortinet ganó la evaluación: firewalls, switches, access points y routers, toda la infraestructura de red fue sustituida y migrada a administración centralizada Fortinet. Una transformación que en condiciones normales habría tardado cinco años en aprobarse se ejecutó en meses.
Se creó un comité formal de ciberseguridad: el encargado de ciberseguridad, el encargado de red, el coordinador de continuidad operativa, el gerente de TI y el consultor externo. Ese comité reportaba directamente a la junta, que a su vez designó un comité de directores para supervisar situaciones de seguridad. Estructura, gobernanza, inversión. Todo lo que no había existido antes del incidente apareció en semanas.
Lo que le pasó al equipo que lo resolvió
Aquí es donde la historia se pone incómoda. La cuento porque creo que es necesario contarla, no para señalar a nadie, sino porque es una situación que se repite en demasiadas organizaciones y rara vez se nombra.
El supervisor de infraestructura que lideró la respuesta esa madrugada, el que tomó las decisiones en tiempo real, que navegó al equipo por la crisis con las herramientas disponibles, enfrentó presión sostenida y disimulada hasta que terminó renunciando meses después. El ingeniero de infraestructura fue reasignado como ingeniero de ciberseguridad: sin mejora salarial, sin bonificación, sin reconocimiento formal. El técnico de infraestructura asumió la administración completa de la red en exactamente las mismas condiciones económicas de antes.
Otros, al ver el panorama que se venía, no esperaron: buscaron otros trabajos y se fueron antes de que la situación los alcanzara. El gerente de TI sabía lo que estaba ocurriendo. Son decisiones que se toman en los niveles que se toman, y no siempre hay mucho margen para quien está en el medio.
Hay un dicho que circula en algunos ambientes gerenciales: "nadie es imprescindible en una empresa." Es cierto en sentido literal. Pero las organizaciones que lo aplican como filosofía de gestión aprenden su costo en el peor momento posible, cuando el próximo incidente llega y las personas que sabían qué hacer ya no están.
Lo que una crisis le exige al liderazgo — antes y después
La junta directiva que bajó al data center esa mañana hizo algo valioso: estuvo presente. No obstaculizó, no tomó decisiones técnicas que no le correspondían, y su presencia fue la señal implícita de que lo que el equipo hacía era visto y relevante al más alto nivel. Eso importa más de lo que parece en el momento.
Pero el liderazgo en una crisis no termina cuando termina la emergencia. La parte más difícil (y la más reveladora) es la gestión que viene después. Una organización que construye comités, renueva infraestructura, implementa frameworks y reporta a la junta, pero no cuida a las personas que demostraron saber trabajar bajo presión real, está construyendo la siguiente crisis sobre una base más frágil de lo que parece.
Los mejores profesionales de TI que he conocido no son los que tienen más certificaciones. Son los que a las 4 de la mañana, con la red caída y sin un manual que seguir, saben exactamente qué decisión tomar primero. Retenerlos no es un gesto de generosidad. Es una decisión de continuidad operativa.
¿Te resonó esta historia?
Suscríbete al newsletter Cybersecurity Insights en LinkedIn. Cada semana: casos reales, reflexiones de liderazgo y análisis técnico-gerencial sin filtro corporativo.
#Liderazgo #Ciberseguridad #GestiónDeEquipos #CIO #ITManager #Fortinet #Cisco #WatchGuard #CapitalHumano #CultureOfSecurity #ISO27001 #NISTCSF #CasoDeEstudio #Chile #Reflexión
Comentarios
Publicar un comentario