Plan de respuesta a ciberincidentes: qué hacer si atacan al family office

Respuesta breve

Un plan de respuesta a ciberincidentes fija de antemano quién decide durante un ataque, qué pasos siguen en la primera hora, cómo se informa a bancos, familia y autoridades y cómo se restauran los sistemas con seguridad. Sigue las fases de preparación, detección, contención, erradicación, recuperación y lecciones aprendidas. Existen obligaciones de notificar las violaciones de datos según la LPD suiza y, en 72 horas, según el RGPD.

Por qué los family offices son un objetivo

Los family offices reúnen grandes patrimonios, información confidencial y equipos informáticos pequeños. Los atacantes lo saben: intentan desviar pagos, tomar el control de cuentas de correo, cifrar datos o robar documentos confidenciales. Un ataque no puede descartarse del todo; lo decisivo es la rapidez y el orden de la respuesta. Sin un plan se pierde un tiempo valioso en la primera hora y se borran rastros.

Las fases de un incidente

La primera hora

1. Informar a los responsables de la emergencia y aclarar quién tiene la facultad de decidir.
2. Bloquear las cuentas afectadas o cambiar las contraseñas, desconectar de la red los dispositivos afectados, sin apagarlos, para conservar los rastros.
3. Ante un posible fraude en pagos, llamar de inmediato a todos los bancos y pedir que detengan o retrocedan los pagos.
4. Recurrir al proveedor informático o a especialistas en gestión de incidentes.
5. Iniciar una cronología: qué pasó, cuándo, quién lo detectó, qué medidas se tomaron.
6. Informar a la aseguradora cibernética, si la hay; muchas pólizas exigen una notificación inmediata.

Obligaciones de notificación

Cuando una violación de la seguridad de los datos pueda suponer un riesgo alto para las personas afectadas, la ley federal suiza de protección de datos exige notificarla al Encargado federal de protección de datos y transparencia lo antes posible (art. 24 LPD). Según el RGPD, una violación de datos personales debe notificarse a la autoridad de control, si es posible, en un plazo de 72 horas cuando pueda constituir un riesgo (art. 33); si el riesgo es alto, también hay que informar a los afectados (art. 34). En Suiza rige además desde el 1 de abril de 2025 la obligación de notificar ciberataques a la Oficina Federal de Ciberseguridad, aunque solo para los operadores de infraestructuras críticas, entre los que no suelen figurar los family offices. En casos de fraude y extorsión conviene presentar denuncia ante la policía.

Ejemplo práctico (simplificado)

Una empleada detecta en su buzón reglas de reenvío que no conoce. Siguiendo el plan de respuesta, informa de inmediato a la dirección; la cuenta se bloquea y el proveedor informático revisa los inicios de sesión y encuentra un acceso desde el extranjero. Como el atacante podía ver facturas con datos bancarios, se avisa a todos los bancos y se revisan los pagos de la última semana: uno a un IBAN cambiado aún puede detenerse. Como los datos de clientes de la familia estaban visibles, el family office examina la obligación de notificar y comunica el incidente a la autoridad de protección de datos competente.

Una preparación que compensa

• Inicio de sesión con dos factores en todas las cuentas, sobre todo correo y banca en línea.
• Copias de seguridad según la regla 3-2-1: tres copias, dos soportes, una fuera de las oficinas y desconectada de la red; probar con regularidad la restauración.
• Una lista de contactos disponible sin conexión: bancos, informática, aseguradora, abogado, autoridad de protección de datos, policía.
• Un ejercicio de mesa anual con un escenario realista.
• Una regla clara: nunca ejecutar pagos ni cambios de cuenta solo por una instrucción por correo.

La comunicación en una emergencia

Además de la respuesta técnica, la comunicación decide el alcance del daño. La familia debe ser informada con rapidez y honestidad, sin especulaciones; los bancos necesitan instrucciones claras sobre qué pagos detener o revisar con especial cuidado; el personal necesita una regla sobre lo que puede decir a terceros. Una sola persona se encarga de las consultas de medios o socios comerciales.

Los canales deben ser seguros: si hay cuentas de correo comprometidas, las instrucciones no deben pasar por ellas; hacen falta números de teléfono acordados de antemano o un canal separado. Tras el incidente, procede un breve informe a la familia y a los órganos: qué pasó, qué datos se vieron afectados, qué notificaciones se hicieron y qué medidas evitan que se repita. La transparencia refuerza la confianza más que cualquier fórmula tranquilizadora.

En FLIORE

FLIORE apoya la preparación con un inicio de sesión de dos factores que puede imponerse a toda la organización, derechos basados en roles, almacenamiento cifrado de documentos, aprobaciones a cuatro ojos para los pagos y una pista de auditoría que muestra en una emergencia quién accedió a qué datos y cuándo.

De un vistazo

Términos de esta página

Registro de auditoría

Registro inalterable que recoge quién creó, modificó, aprobó o eliminó qué datos y cuándo.

Preguntas frecuentes

Fuentes

• NIST SP 800-61 – Computer Security Incident Handling Guide
• Oficina Federal de Ciberseguridad de Suiza (NCSC/BACS)
• Oficina Federal de Seguridad de la Información de Alemania (BSI)
• Encargado federal suizo de protección de datos y transparencia (FDPIC/EDÖB)
• Ley federal suiza de protección de datos (LPD, RS 235.1) – Fedlex
• Reglamento General de Protección de Datos (UE) 2016/679 – EUR-Lex

Esta página sirve de orientación y no sustituye el asesoramiento jurídico o fiscal. Las fuentes legales citadas prevalecen en su versión aplicable.

Más información

Más sobre Operación, seguridad y tecnología

• El modelo de datos del patrimonio familiar
• El cierre anual de todas las estructuras familiares
• Modelos de honorarios en el multi family office
• La firma electrónica en un family office