OpenCyber AcademyRansomware en un hospital
Un hospital regional pierde acceso a las citas y a una carpeta compartida de imágenes; los sistemas de cabecera siguen funcionando, pero su dependencia no está confirmada.
Escenario ficticio para estudiar; no describe personas ni sistemas reales.
Límite de seguridad y autoridad
Las decisiones de seguridad clínica corresponden al responsable clínico; no desconecte equipos ni restaure sobre evidencia sin aprobación.
Preparación
GV · ID · PRUn hospital regional pierde acceso a las citas y a una carpeta compartida de imágenes; los sistemas de cabecera siguen funcionando, pero su dependencia no está confirmada.
Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.
Mostrar la respuesta desarrollada de los equipos
| Equipo | Qué hizo | Cómo lo hizo | Por qué lo hizo |
|---|---|---|---|
| Aster Equipo de evidencias | Preparó la ruta de evidencia | Nombró fuentes de solo lectura y responsables para: A las 08:20 una estación muestra una nota de extorsión; dos carpetas dejan de poder leerse. Alertas de terminal y registros de copias discrepan sobre la primera hora afectada. | La primera alerta necesita origen y hora verificables. |
| Birch Equipo de servicio | Ensayó la continuidad segura | Probó de forma aislada una versión de: Restaure las citas en un entorno aislado desde una copia limpia seleccionada; reconecte solo tras probar el flujo clínico. | Una recuperación precipitada puede agravar el impacto. |
| Cobalt Equipo de decisiones | Definió autoridad y escalamiento | Asignó responsables y condiciones de aprobación para: Las decisiones de seguridad clínica corresponden al responsable clínico; no desconecte equipos ni restaure sobre evidencia sin aprobación. | Seguridad, privacidad y comunicación requieren decisiones responsables. |
Detección y análisis
DEA las 08:20 una estación muestra una nota de extorsión; dos carpetas dejan de poder leerse. Alertas de terminal y registros de copias discrepan sobre la primera hora afectada.
Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.
Mostrar la respuesta desarrollada de los equipos
| Equipo | Qué hizo | Cómo lo hizo | Por qué lo hizo |
|---|---|---|---|
| Aster Equipo de evidencias | Evaluó la señal | Conservó origen, hora UTC y comprobación independiente de: A las 08:20 una estación muestra una nota de extorsión; dos carpetas dejan de poder leerse. Alertas de terminal y registros de copias discrepan sobre la primera hora afectada. | Una alerta es una pista, no prueba de causa o alcance. |
| Birch Equipo de servicio | Midió el impacto en usuarios | Comparó el servicio real con la línea base: Un hospital regional pierde acceso a las citas y a una carpeta compartida de imágenes; los sistemas de cabecera siguen funcionando, pero su dependencia no está confirmada. | Las alertas técnicas solas no demuestran impacto operativo. |
| Cobalt Equipo de decisiones | Abrió un caso delimitado | Registró hechos confirmados, incógnitas, responsable y próxima revisión. | Los equipos se coordinan sin exagerar la evidencia. |
Respuesta y contención
RSLas decisiones de seguridad clínica corresponden al responsable clínico; no desconecte equipos ni restaure sobre evidencia sin aprobación.
Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.
Mostrar la respuesta desarrollada de los equipos
| Equipo | Qué hizo | Cómo lo hizo | Por qué lo hizo |
|---|---|---|---|
| Aster Equipo de evidencias | Conservó y delimitó evidencia | Guardó los registros originales y definió una ruta limitada para: Aísle estaciones y carpetas afectadas confirmadas en un orden aprobado por el responsable y conserve copias de discos y registros. | La contención no debe destruir la base de la revisión posterior. |
| Birch Equipo de servicio | Aplicó el control aprobado | Ejecutó: Aísle estaciones y carpetas afectadas confirmadas en un orden aprobado por el responsable y conserve copias de discos y registros. | Un cambio reversible y aprobado reduce daños sin ampliar el alcance. |
| Cobalt Equipo de decisiones | Autorizó y comunicó | Registró aprobador, personas afectadas y límite: Las decisiones de seguridad clínica corresponden al responsable clínico; no desconecte equipos ni restaure sobre evidencia sin aprobación. | Las acciones exigen autoridad clara y aviso proporcional. |
Recuperación
RCRestaure las citas en un entorno aislado desde una copia limpia seleccionada; reconecte solo tras probar el flujo clínico.
Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.
Mostrar la respuesta desarrollada de los equipos
| Equipo | Qué hizo | Cómo lo hizo | Por qué lo hizo |
|---|---|---|---|
| Aster Equipo de evidencias | Comprobó la persistencia | Comparó nueva telemetría con: El personal clínico puede completar una cita y recuperar una imagen; la supervisión no muestra nuevo cifrado. | Un servicio aparentemente sano todavía puede estar comprometido. |
| Birch Equipo de servicio | Restauró por etapas | Ejecutó: Restaure las citas en un entorno aislado desde una copia limpia seleccionada; reconecte solo tras probar el flujo clínico. | El retorno gradual prueba dependencias antes de ampliar el acceso. |
| Cobalt Equipo de decisiones | Aceptó el resultado operativo | Pidió aprobación del responsable solo después de: El personal clínico puede completar una cita y recuperar una imagen; la supervisión no muestra nuevo cifrado. | Recuperar es una decisión de servicio, no solo un panel verde. |
Mejora
ID.IMEnsayar el aislamiento de copias, la responsabilidad de restauración y la contingencia clínica antes del próximo incidente.
Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.
Mostrar la respuesta desarrollada de los equipos
| Equipo | Qué hizo | Cómo lo hizo | Por qué lo hizo |
|---|---|---|---|
| Aster Equipo de evidencias | Convirtió incertidumbre en prueba | Documentó la laguna de evidencia y propuso: Ensayar el aislamiento de copias, la responsabilidad de restauración y la contingencia clínica antes del próximo incidente. | Una lección requiere una comprobación futura medible. |
| Birch Equipo de servicio | Ensayó el control modificado | Asignó responsable y fecha para probar: Ensayar el aislamiento de copias, la responsabilidad de restauración y la contingencia clínica antes del próximo incidente. | Una tarea no probada no es una mejora verificada. |
| Cobalt Equipo de decisiones | Cerró el registro de decisiones | Aprobó recursos, siguió al responsable y comprobó el nuevo control. | El aprendizaje debe alimentar Gobernar, Identificar y Proteger. |
Criterio de aceptación de la recuperación
El personal clínico puede completar una cita y recuperar una imagen; la supervisión no muestra nuevo cifrado.
Mejora que debe verificarse
Ensayar el aislamiento de copias, la responsabilidad de restauración y la contingencia clínica antes del próximo incidente.