Las primeras horas
Cuando se detecta un incidente de seguridad real, las primeras horas deciden casi todo. Y son las peores para improvisar: hay presión, información incompleta y muchas personas preguntando a la vez. Sin un guion, se pierde tiempo en lo básico: quién coordina, a quién se avisa, qué se puede apagar, quién habla con los clientes.
Las fases del guion
Un guion de respuesta sigue unas fases reconocibles:
- Detectar y clasificar: ¿es un incidente real?, ¿qué gravedad tiene? La gravedad decide a quién se avisa y con qué urgencia.
- Contener: limitar el daño. Aislar un sistema, desactivar una credencial, bloquear un acceso. Estas decisiones están autorizadas de antemano en el guion, para no esperar aprobaciones en mitad del incidente.
- Investigar: qué pasó, desde cuándo, qué alcanzó. Aquí se nota si los registros existían y estaban protegidos.
- Erradicar: eliminar la causa: el acceso del atacante, la vulnerabilidad, la configuración débil. Rotar todo lo que pudo quedar comprometido.
- Recuperar: volver al servicio normal con seguridad, con los procedimientos de diseñar para fallar.
- Aprender: análisis sin culpables y acciones permanentes.
Roles escritos
El guion dice quién coordina (una sola persona decide), quién investiga, quién comunica (dentro y fuera) y quién decide lo que el guion no prevé. También dice a quién hay que avisar fuera y en qué plazo: clientes afectados, proveedores y, cuando lo exige la regulación, a las autoridades.
Ensayar
Un guion que nunca se ha ensayado tiene los mismos problemas que una copia de seguridad que nunca se ha restaurado. Los ensayos pueden ser sencillos: una sesión de un par de horas en la que se plantea un escenario ("una credencial de administración aparece en un repositorio público") y el equipo recorre el guion paso a paso. Cada ensayo encuentra algo que corregir, y eso es exactamente lo que se busca.
Queda una última idea, la que une toda la serie: que la seguridad no se viva como un freno.
Cómo lo aplicamos: Ciberseguridad.