Daremos acceso al proveedor para respuesta a incidentes remota: ¿qué debe incluir el acuerdo de autorización?

En lugar de una VPN permanente, pongan una solución de gestión de accesos privilegiados (PAM) de por medio. Que el analista no sepa la contraseña directamente al conectarse, que la clave se inyecte automáticamente desde un vault y que cada comando se transmita al instante por syslog a un servidor de logs independiente. Así no podrán borrar sus propios rastros.

En el texto legal debe quedar clara la distinción entre encargado del tratamiento y responsable del tratamiento según la normativa de protección de datos personales. Además, para no alterar la cadena de custodia (chain of custody) en peritajes informáticos, se debe estipular en el contrato que la metodología aplicada cumpla con estándares reconocidos internacionalmente.

Hace dos años le dimos acceso VPN permanente a una consultora similar para hacer pruebas, el trabajo terminó pero la cuenta no se cerró. Nueve meses después le robaron la laptop a un empleado de esa empresa y unos atacantes entraron a nuestra red. Por suerte lo cazamos temprano por los logs. Desde ese día no le abrimos la puerta a nadie si no es con una cuenta temporal.

Limiten la conexión desde el firewall para permitir únicamente dos direcciones IP fijas que reporte la empresa. Bloqueen por completo el acceso desde casa, cafeterías o IP dinámicas. Exijan autenticación de doble factor (MFA) obligatoriamente con llave física.

El argumento de "no podemos responder en la primera media hora" suele ser pura flojera. Activar una cuenta con un script de aprobación automática toma 90 segundos. No dejen su infraestructura permanentemente expuesta solo para que ellos estén cómodos.

3 cláusulas que debes incluir en el contrato: 1) Lista con nombres y antecedentes penales de los especialistas del equipo de respuesta. 2) Estándar de cifrado y protocolo de destrucción para los datos que salgan del sistema para análisis (por ejemplo, RAM dump). 3) Límites de indemnización si ocurre una caída del servicio por una mala intervención.

Dejar permisos permanentes de root o domain admin a una empresa externa no es aceptable bajo ningún estándar de seguridad.

¿El equipo que hará la intervención tiene seguro de responsabilidad civil profesional? Si se cargan la base de datos con un comando mal metido o se filtran datos, ¿cuánto de ese daño cubre la póliza del seguro?

Quisiera hacer una pregunta. la verdad que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Todos los que se apresuran con acuerdo autorizacion respuesta remota incidentes se atascan en el mismo punto. Esta es mi opinión no lo escribo como una verdad absoluta.

Exactamente así. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Lo dejo como nota, por si sirve.

Permíteme resumir lo que se ha dicho hasta ahora. Que todo el mundo haga algo no significa que sea lo correcto.

Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo. Lo dejo como nota, por si sirve.

Buen trabajo. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Ánimo.

Tomo nota, gracias.

Muchas gracias, lo probaré hoy. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Yo seguiría por ese camino.

estooy de acuerdo.

Lo probaré.

Tienes razón, yo también pasé por lo mismo. Si regañas las falsas alarmas, nadie volverá a reportar.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

permíteme resumir lo que se ha dicho hasta ahora. la respuesta varía muho según el sector no hay una regla general.

si tenéis dudas, escribid os repsonderé en la medida de lo posible.