Guía práctica para crear un equipo de respuesta a incidentes cibernéticos
Si bien existen varias soluciones de gestión de amenazas y riesgos que ayudan a tu equipo a lidiar con incidentes de seguridad de bajo nivel mediante la automatización de las respuestas, las amenazas de alto nivel (ataques sofisticados y sigilosos), incluidas las amenazas persistentes avanzadas (APT), requieren un equipo de respuesta a incidentes cibernéticos —equipado y listo para actuar con rapidez—.
Este equipo podría ser:
- Un equipo permanente dentro de un centro de operaciones de seguridad (SOC)
- Uno que surge de la colaboración entre los principales responsables de las áreas de TI y seguridad de una organización pequeña o mediana
- Un equipo externo que llega de improviso cuando se le solicita
Independientemente de dónde provenga el equipo, tu plan de respuesta a incidentes debe definir a tu equipo de respuesta a incidentes y sus funciones y responsabilidades. Un plan de respuesta a incidentes bien detallado, que incluya funciones bien definidas dentro de tu equipo, puede ahorrarte más de un dolor de cabeza (por no hablar de millones de dólares, datos y un desastre de relaciones públicas) en caso de que se produzcan incidentes de seguridad. Esta publicación aborda los conceptos básicos de la respuesta a incidentes de ciberseguridad y cómo formar un equipo de respuesta a incidentes.
¿Qué es un plan de respuesta ante incidentes cibernéticos?
El término «respuesta a incidentes cibernéticos» se refiere a un enfoque organizado para manejar (responder a) los incidentes de ciberseguridad. La respuesta a incidentes (IR) debe llevarse a cabo de manera que mitigue el daño, reduzca el tiempo de recuperación y minimice los costos. El conjunto de instrucciones que una organización utiliza para guiar a su equipo de respuesta a incidentes cuando ocurre un evento de seguridad (es decir, una violación de seguridad) es el Plan de Respuesta a Incidentes.
Un plan de respuesta a incidentes (IR) bien documentado ayuda a las organizaciones a reaccionar con rapidez al agilizar la toma de decisiones, describir los procesos y definir el uso adecuado de las tecnologías disponibles.
Según la definición de SANS, hay seis fases de la respuesta a incidentes que debes tener en cuenta al planificar:
- Preparación: capacitar al personal de seguridad para que pueda hacer frente a posibles incidentes. Esto incluye capacitación, equipamiento y simulacros.
- Identificación: detectar y determinar si un incidente cumple con las condiciones para que la organización lo considere un incidente de seguridad, así como su gravedad.
- Contención: contener el incidente aislando los sistemas afectados para evitar daños futuros.
- Erradicación: detectar la causa del incidente y eliminar las amenazas de los sistemas afectados.
- Recuperación: restaurar los sistemas afectados y asegurarse de que no quede ninguna amenaza.
- Lecciones aprendidas: analizar los registros de incidentes, actualizar el plan de respuesta y completar la documentación de los incidentes.
Tu plan de relaciones con inversionistas debe incluir las siguientes secciones:
- Resumen del plan
- Funciones y responsabilidades
- Lista de incidentes que requieren una respuesta
- Resumen general del estado de seguridad y la infraestructura de red
- Procedimientos para la detección, investigación y contención
- Plan de erradicación y capacidades
- Plan de recuperación (¿cuánto tiempo te tomará restaurar los datos a partir de las copias de seguridad?)
- Protocolo para la notificación de violaciones de seguridad
- Una lista de llamadas actualizada
- Tareas de seguimiento
Los detalles del plan deben abordar en profundidad las siguientes áreas:
- Detalles del equipo de respuesta a incidentes
Los miembros del equipo de respuesta están compuestos por empleados y/o miembros externos. Es fundamental que todos los miembros del equipo de respuesta a incidentes se mencionen en detalle en el plan de respuesta a incidentes (IR), incluyendo sus funciones y responsabilidades en caso de un incidente, así como la capacitación recibida al respecto. Es especialmente importante diferenciar las funciones de quienes manejan los incidentes de las responsabilidades de los administradores de recursos. - Información del sistema y de la red
. Esto incluye diagramas de red y de flujo de datos, así como el inventario de hardware. Es importante saber cómo un atacante podría desplazarse por tu red a partir de un host o sistema que haya sido comprometido. - Procedimientos para el manejo y la notificación de incidentes
Esta sección debe incluir un modelo para completar un informe de recepción de incidentes con una descripción detallada del incidente y de los archivos afectados. - Lecciones aprendidas
Dos preguntas que se deben plantear tras un incidente son: ¿cómo evitar que vuelvan a ocurrir incidentes similares? y ¿qué aspectos del plan de respuesta ante incidentes se podrían mejorar? Pregunta qué funcionó y qué no, cómo respondió el personal y qué partes del plan necesitan una actualización. - Notificación a terceros y a las autoridades
Debe incluir políticas sobre cuándo y cómo notificar a las autoridades, a terceros, a proveedores y a los usuarios. La mayoría de las notificaciones de incidentes se rigen por normas regulatorias.
Cómo armar un equipo eficaz de respuesta a incidentes cibernéticos
Quién es quién en un plan de respuesta ante incidentes.
Estas son las funciones principales de un equipo de relaciones con inversionistas, junto con sus responsabilidades básicas. Sin embargo, nada es inamovible, por lo que las responsabilidades reales varían mucho de una organización a otra.
- Jefe de equipo: coordina todas las actividades del equipo de respuesta a incidentes.
- Comunicaciones: se encarga de gestionar las comunicaciones dentro de la organización y con terceros. Debe contar con capacitación o apoyo en materia de relaciones públicas.
- Investigador principal: recopila y analiza pruebas técnicas, determina la causa del ataque y dirige a otros analistas y equipos de TI para llevar a cabo la recuperación del sistema y los servicios.
- Analistas/Investigadores: apoyan al investigador proporcionándole información sobre amenazas y contexto para un incidente. Es posible que se requieran analistas forenses cibernéticos para realizar análisis exhaustivos de los sistemas comprometidos.
- Representación legal: es fundamental contar con asesoría legal y de recursos humanos para hacer frente a posibles cargos penales derivados del incidente.
Un equipo puede estar compuesto por miembros de la propia organización, así como por miembros subcontratados, ya sea parcial o totalmente, según sea necesario. Los terceros pueden, por ejemplo, proporcionar expertos que realicen análisis forenses más exhaustivos o que ayuden a gestionar las comunicaciones con el público o los clientes.
¿Dónde debería ubicarse el equipo?
Los miembros del CSIRT suelen estar distribuidos geográficamente para garantizar la mayor cobertura posible de husos horarios. Esto asegura que siempre haya alguien de guardia y disponible en cualquier momento del día. La redundancia es imprescindible, con delegados designados para cuando los miembros del equipo no estén disponibles. Las organizaciones pequeñas suelen beneficiarse de la subcontratación de las funciones de respuesta a incidentes para cubrir los horarios fuera del horario laboral o los períodos de vacaciones, pero esto generalmente requiere contratos de servicio para garantizar el tiempo de respuesta.
¿Cuál es el papel de la automatización en la respuesta a incidentes de ciberseguridad?
Ante la falta de profesionales con experiencia para ocupar estos puestos, la automatización encabeza la lista de iniciativas en las operaciones de seguridad, especialmente la nueva disciplina DevSecOps que está irrumpiendo en el ámbito de la nube. La automatización desempeña un papel crucial para que estos equipos puedan seguir realizando un trabajo seguro y de calidad, sin comprometer la calidad. Las últimas tendencias en la respuesta automatizada a incidentes se implementan mediante «playbooks», que son flujos de trabajo sin código que ejecutan automáticamente muchas de las tareas repetitivas una vez que se activan.
Sin embargo, en muchos escenarios de respuesta, no hay nada que pueda sustituir a un analista humano con experiencia, ya que no todo puede automatizarse por completo. La respuesta ante incidentes puede variar mucho de un caso a otro y, con frecuencia, tendrás que tomar decisiones con información limitada.
Resumen
Un CIRST eficaz puede ayudar a responder rápidamente ante incidentes de seguridad, mitigando el daño causado a la organización. Por lo tanto, definir y crear tu CIRST es un paso importante que no se puede tomar a la ligera.
Dependiendo del tamaño y las necesidades de tu organización, una opción puede ser combinar personal interno con expertos externos en ciberseguridad. Otras empresas subcontratan sus servicios de seguridad administrados a un proveedor de MDR, lo que les brinda tranquilidad las 24 horas del día, los 7 días de la semana, y permite que su equipo de TI dedique su tiempo a otras tareas.
Independientemente de cómo decidas armar tu equipo de respuesta a incidentes (IR), ahora conoces las funciones y responsabilidades fundamentales que deben cubrir, así como algunas prácticas recomendadas para desarrollar una política sólida de respuesta a incidentes.
