Impuesto de Sociedades Contabilidad .NET

Un plan de recuperación que no se ensaya falla el día del ataque. Te explicamos cómo organizar un simulacro anual de ransomware en una pyme alicantina: los 3 niveles (tabletop, técnico parcial y completo), las métricas RTO y RPO que debes cronometrar, la notificación a la AEPD en 72 h y cómo hacerlo sin parar la empresa ni asustar a la plantilla.

Eran las once de la mañana de un martes de octubre cuando Raúl, gerente de una distribuidora de Alicante con 34 empleados, reunió a media docena de personas en la sala grande. No había pasado nada. No había ningún archivo cifrado, ningún correo de rescate, ninguna pantalla en negro. Y precisamente por eso estaban allí: para ensayar el día en que sí pasara.

Durante las dos horas siguientes, su técnico de sistemas lanzó un escenario inventado pero verosímil —un correo de phishing abierto un viernes por la tarde, el servidor de facturación cifrado el lunes a primera hora— y el equipo fue respondiendo paso a paso, como si fuera real. A los 40 minutos descubrieron algo que les heló la sangre: nadie sabía con certeza quién tenía la potestad de decidir si se apagaban los servidores. Y la copia de seguridad que creían que se restauraba «en un par de horas» llevaba, según los números reales, casi una jornada entera.

Mejor descubrirlo en un simulacro que el día negro. De eso va este artículo.

Un plan que no se ensaya es un documento, no una defensa

En un artículo anterior explicábamos el plan paso a paso para recuperar una pyme tras un ataque de ransomware: las primeras cuatro horas, el orden de restauración, la notificación a la AEPD en 72 horas, el aviso a INCIBE-CERT. Muchas empresas de Alicante lo leyeron, asintieron y guardaron el PDF en una carpeta. Y ahí sigue.

El problema es que un plan de recuperación que solo existe sobre el papel falla justo cuando más lo necesitas. Bajo la presión real de un incidente —con clientes llamando, facturación parada y el reloj corriendo— nadie se pone a leer un documento de doce páginas. Se actúa por reflejo. Y los reflejos solo se construyen entrenando.

Los datos acompañan la urgencia: INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26 % más que el año anterior, de los cuales 392 fueron casos de ransomware empresarial. Las grandes organizaciones llevan años haciendo simulacros (INCIBE coordina ejercicios nacionales como CyberEx España). La buena noticia para las pymes es que no hace falta nada de eso para empezar: basta con un ensayo bien planteado de un par de horas.

Los tres niveles de simulacro (y por cuál empezar)

1. Simulacro de mesa (tabletop): 2 horas, coste casi cero

Es el punto de partida obligado y el que más revela por cada euro invertido. No se toca ni un solo sistema real: se reúne a dirección, responsable de sistemas, administración y quien gestione la comunicación con clientes, y se plantea un escenario hablado. «Son las 8:00, el ERP no arranca, hay una nota de rescate en el escritorio. ¿Qué hace cada uno en los próximos 30 minutos?» Se va avanzando por fases y se anota cada duda, cada silencio incómodo, cada «eso no sé quién lo hace». Un tabletop destapa en una mañana los fallos de roles, las dependencias con proveedores y las lagunas en la gestión de datos personales.

2. Simulacro técnico parcial: sobre un entorno de pruebas

El siguiente nivel ya pone a prueba la tecnología, pero sin riesgo: se restaura una copia de seguridad real sobre un servidor o una máquina virtual aislada y se cronometra cuánto tarda de verdad. Aquí es donde la mayoría de pymes se lleva el susto del backup que tardaba mucho más de lo que pensaba, o de la copia que estaba bien… pero a la que le faltaba media base de datos.

3. Simulacro técnico completo: restauración real en red aislada

El más exigente, recomendable una vez se han superado los dos anteriores: levantar los sistemas críticos completos en una red separada, como si se reconstruyera la empresa desde cero. Mide el tiempo real de vuelta a la operación de principio a fin. No es para hacerlo el primer año, pero es el que de verdad valida que la pyme podría sobrevivir.

Las dos cifras que todo simulacro debe medir: RTO y RPO

Un ensayo sin métricas es solo una charla. Las dos que importan son:

RTO (tiempo objetivo de recuperación): cuántas horas puede estar parado cada sistema antes de que el daño sea grave. Si tu RTO objetivo para la facturación es de 4 horas y el simulacro revela un RTO real de 9, tienes un problema medido y, por fin, accionable.
RPO (punto objetivo de recuperación): cuántos datos puedes permitirte perder. Si haces copia una vez al día, tu RPO es de 24 horas: en el peor caso pierdes una jornada de pedidos. ¿Es asumible para tu negocio?

El simulacro convierte estas dos siglas abstractas en números reales de tu empresa. Y junto a ellas conviene cronometrar una tercera: el tiempo que tardarías en tener lista la notificación a la AEPD, obligatoria en un máximo de 72 horas desde que se tiene constancia del incidente si hay datos personales afectados.

Cómo organizarlo sin parar la empresa ni asustar a la plantilla

Tres reglas prácticas para que el simulacro sume y no reste:

Avisa con antelación. Un simulacro no es una trampa para pillar a nadie. Comunica que es un ejercicio planificado de mejora, no una auditoría de culpables. El objetivo es que el equipo salga más tranquilo, no más asustado.
Hazlo fuera de hora punta. El tabletop cabe en una reunión de dos horas. Las pruebas técnicas se programan en ventanas de baja actividad y siempre sobre entornos aislados, nunca sobre los sistemas en producción.
Cierra con un informe. Lo más valioso del simulacro es la lista de lo que falló: cada hallazgo se convierte en una tarea con responsable y fecha. Sin informe post-simulacro, el ejercicio se olvida en una semana.

Con repetirlo una vez al año —y revisarlo si cambian los sistemas o el equipo— una pyme alicantina pasa de «tener un plan» a «saber que funciona». Es la diferencia entre confiar y comprobar.

Conclusión: la tranquilidad se entrena

Raúl salió de aquella sala con una lista de siete cosas que arreglar. En tres meses las había resuelto todas: aclaró quién decide qué, redujo el tiempo de restauración a la mitad y dejó preparadas las plantillas de comunicación a clientes. Cuando seis meses después un empleado picó de verdad en un phishing, el equipo supo exactamente qué hacer. El incidente se quedó en un mal rato en lugar de en una crisis.

En Softnet Sistemas llevamos desde 1996 ayudando a las pymes de Alicante a protegerse de verdad, no solo sobre el papel. Diseñamos el plan de recuperación, montamos las copias de seguridad inmutables y organizamos contigo el simulacro anual para que el día negro —si llega— sea un trámite y no el final de tu empresa.

👉 Descubre nuestros servicios de seguridad informática para empresas en Alicante y empieza a entrenar la tranquilidad de tu negocio.

Golden Soft

Nueva versión de Golden .Net 3.08.12

GoldenNet ERP, CRM y TPV Nueva Versión 3.44

Actualización 3.25 del ERP y CRM Golden .Net

Cómo hacer que un ERP trabaje por ti (y no al revés)

Por qué tu CRM no vende solo: la clave está en cómo lo usas (y cómo entrenas a tu equipo)

Checklist post-migración de ERP: las 10 comprobaciones de la primera semana en una pyme de Alicante (2026)

NIS2 para pymes proveedoras en Alicante: qué te exigirán tus clientes grandes en 2026 (aunque la ley aún no te obligue)

Geolocalización en el fichaje móvil: qué puede y qué NO puede exigir tu empresa según el RGPD y la AEPD (pymes de Alicante 2026)

Verifactu 2027 para pymes en Alicante: cómo preparar tu ERP, TPV y software de facturación antes de la fecha límite

Prepara los datos de tu pyme antes que la IA: la guía para no automatizar sobre el caos (Alicante 2026)

Migrar los datos a un ERP nuevo sin perder ni un cliente: cómo se hace una migración limpia en una pyme de Alicante (2026)

Ciberseguro para pymes en Alicante: qué cubre de verdad una póliza y qué te exigirán antes de firmarla en 2026

Cómo saber si tu automatización con IA está funcionando: los 5 indicadores que toda pyme debería vigilar en 2026

Control horario y registro de jornada en el sector cultural y de eventos: cómo cumplir con trabajadores intermitentes en 2026

Simulacro de ransomware en una pyme de Alicante: cómo ensayar el plan de recuperación una vez al año sin parar la empresa (2026)