Manuales de respuesta a incidentes: ¿está preparado?
COMENTARIO
Cuando se habla de una biblioteca de respuesta a incidentes (IR), no se trata de la cantidad de libros en un estante relacionados con la planificación de respuesta a incidentes, cómo crear planes y guías, o las últimas teorías o marcos. Se trata de tu actual plan de respuesta a incidentes y los manuales que lo acompañan. ¿Su organización los tiene siquiera o, si sucede algo, simplemente confía en que alguien del departamento de TI se encargue de ello? Desafortunadamente, este último escenario suele ser el caso. Incluso si existen manuales de estrategias, por lo general No se han actualizado en años. Y eso si alguien puede encontrarlos o recordar dónde se guardan. Exploremos la diferencia entre varios planes y manuales de RI, enfatizando la importancia de los manuales y brindando algunas pautas básicas sobre cómo construirlos.
¿Qué es un plan de respuesta a incidentes?
La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) define un plan de IR como «un documento escrito, aprobado formalmente por el equipo de liderazgo superior, que ayuda a su organización antes, durante y después de un incidente de seguridad confirmado o sospechado. Su plan de IR aclarará los roles y responsabilidades y proporcionar orientación sobre actividades clave. También debe incluir una lista de personas clave que pueden ser necesarias durante una crisis». Básicamente, proporciona orientación general para el flujo de trabajo cuando ocurre un incidente.
Los manuales de incidentes, por otro lado, debería ser parte del plan de IR. Proporcionan orientación procesal para incidentes específicos, ayudando a estandarizar las respuestas y detallando acciones para remediar incidentes específicos. La mayoría de las organizaciones suelen tener algún tipo de plan de IR almacenado en algún lugar, pero los manuales suelen ser los lugares donde falta documentación.
Varias razones por las que los manuales de estrategias son esenciales incluyen:
-
Normalización: Ayudan a estandarizar acciones para un incidente determinado. Si bien cada incidente puede tener cualidades únicas, algunos pasos estándar pueden documentarse y aplicarse a casi todos los casos. Por ejemplo, en el caso de una cuenta de correo electrónico comprometida, la cuenta comprometida normalmente debería desactivarse.
-
Eficiencia: Los manuales ayudan a reducir el tiempo de inactividad al eliminar la necesidad de encontrar a la única persona que sepa cómo desactivar una cuenta o aislar un host. Un manual bien escrito permite que la mayoría de las personas con roles similares completen estas acciones.
-
Confianza y confianza: Generan confianza dentro de la organización en que los incidentes se manejarán de manera consistente y adecuada.
-
Preparación: Los manuales mejoran la preparación general y ayudan a las empresas a cumplir con las pautas de presentación de informes.
-
Reducción de costos: Limitar el tiempo de inactividad reduce el costo monetario de un incidente (por ejemplo, multas, sanciones, costos legales) y mitiga el daño a la reputación. Según el «Informe sobre el costo de una violación de datos en 2023» de IBM, la planificación y las pruebas de IR, incluida la creación de manuales, se encuentran entre los tres mitigadores de costos más efectivos. El informe afirma que el coste medio de una infracción es ahora de 4,45 millones de dólares, con una diferencia de 1,49 millones de dólares (34,1%) entre las organizaciones con altos niveles de planificación de IR y aquellas con poca o ninguna. Además, las organizaciones con un plan de IR probado y en funcionamiento redujeron el tiempo de permanencia en 54 días.
Creando manuales
En su forma más básica, los manuales son documentos de procedimiento: una guía paso a paso sobre cómo completar acciones específicas vinculadas a un incidente general. Usemos como ejemplo una infección de malware en una estación de trabajo de usuario típica. Recibes una notificación de detección de malware. ¿Y ahora qué?
-
Análisis inicial: ¿Quién realiza el análisis inicial y utilizando qué herramientas/recursos? ¿Qué preguntas deben responderse en esta fase para determinar los próximos pasos?
-
Contención: ¿Cómo y quién hace esto? Documente el proceso y los controles para garantizar la contención.
-
Comprobación de respaldo: Verifique las copias de seguridad para detectar infecciones y limpieza antes de la restauración. Determine desde qué distancia restaurar, cómo restaurar y qué herramientas utilizar.
-
Eliminación: Cómo eliminar el malware, qué herramientas se utilizan, una guía paso a paso y cómo verificar la eliminación. Decida si borrar y volver a crear la imagen o intentar la eliminación manual.
Lo anterior no lo incluye todo, pero proporciona un breve ejemplo del tipo de información, pasos y consideraciones que podrían incluirse en un manual de eliminación de malware. Este ejemplo puede y debe ampliarse y hacerse más granular. También se recomienda utilizar capturas de pantalla en sus manuales. Generalmente, al crear un libro de jugadas, puedes seguir un esquema como este:
-
Introducción: ¿Qué estás resolviendo? ¿Para qué sirve el libro de jugadas?
-
Funciones y responsabilidades: ¿Quién hace qué y quién es responsable de completar los pasos?
-
Fases de respuesta a incidentes: Herramientas utilizadas, procedimientos, identificación, contención, erradicación, recuperación, acción posterior.
-
Plan de comunicación: A quién se le debe notificar, cuándo notificar a los diferentes equipos, consideraciones de privilegios de asesores legales y abogados-clientes, notificaciones a la alta dirección, etc.
La estructura de este esquema puede ser modificada. dependiendo del tipo específico de incidente para el cual esté desarrollando un manual.
Temas para elaborar manuales de estrategias
Desarrolle guías para cada posible problema de seguridad imaginable. Algunos escenarios incluyen infección de malware, ataques de phishing, compromiso de cuentas, filtración de datos, prevención de pérdida de datos, amenazas internas, ataques de denegación de servicio, dispositivos perdidos o robados, incidentes de acceso no autorizado y configuraciones incorrectas.
Una vez que los manuales estén implementados, asegúrese de que quienes necesiten usarlos sepan dónde encontrarlos. De nada sirven si nadie sabe dónde están cuando se necesitan. Pruébelos y revíselos periódicamente para garantizar que las herramientas y los procesos sigan siendo aplicables. Haga esto al menos dos veces al año.
En última instancia, no se puede subestimar la importancia de contar con guías que acompañen su plan de IR. Proporcionan eficiencia y coherencia en las respuestas, ayudan a reducir el tiempo de inactividad y el tiempo de permanencia, y pueden ser una medida de ahorro de costos y de reputación para su organización.