Empresa de seguridad vende 'acuerdo de respuesta a incidentes': ¿vale la pena pagar una cuota anual para tener un equipo en espera?

No se olviden de un detalle clave: revisen la póliza de su ciberseguro y lean las cláusulas sobre la red de proveedores forenses autorizados. La mayoría de las aseguradoras no cubre la factura de emergencia de una empresa de seguridad que no esté en su lista. Si la firma que les hizo la oferta no está aprobada por su seguro, esos 12.000 dólares se tiran a la basura y ante un ataque van a tener que esperar igual al equipo que les asigne la aseguradora.

El año pasado estuvimos en un dilema parecido y no firmamos nada. Cuando nos entraron al sistema tuvimos que hacer una llamada de emergencia. Una firma reconocida de análisis forense nos pidió 600 dólares la hora y un anticipo mínimo de 40 horas por adelantado; el contrato tardó 18 horas en pasar por legales. La pérdida de datos de clientes en esas 18 horas nos costó más de 80.000 dólares. Ahora renovamos el acuerdo de 10.000 dólares a ojos cerrados.

Para una empresa de software de 35 personas, 12.000 dólares no es poca plata, y encima 8.000 se van a esfumar sin usarse. Si tienen los sistemas en una infraestructura cloud moderna, el registro centralizado de logs funciona bien y los backups están aislados, es mucho más lógico invertir ese presupuesto en ingeniería interna y reforzar la autenticación en vez de dárselo a un tercero.

Antes de firmar el contrato, dejen por escrito sí o sí estos tres puntos: 1) ¿El tiempo de respuesta de 2 horas es solo para contestar el teléfono o es el plazo para que los analistas forenses se conecten físicamente a los sistemas? 2) Si no ocurre ningún incidente, ¿las horas restantes se pueden transferir a capacitación de seguridad para los empleados o a auditorías de código? 3) Si el incidente escala a las autoridades judiciales o a las instituciones de protección de datos, ¿el soporte de informes legales está incluido en esa tarifa por hora?

nosotros tb lo contratamos hace 2 años pero resulta q ni guardábamos bien los logs. vinieron los tipos y como no teníamos logs no pudieron averiguar x dónde entró el ataque. antes de firmar nada asegurense de q sus sistemas guarden al menos 90 días de logs de acceso q si no el equipo por mucho q espere no tiene nada q hacer.

El beneficio más crítico de este tipo de acuerdos es la fase de preparación. Un buen equipo, tan pronto como cobra, lo primero que hace es mapear su red, probar sus fuentes de logs y documentar con qué clave entrarán a qué servidor en caso de emergencia. En pleno momento de crisis nadie pierde el tiempo buscando contraseñas. Si la empresa no realiza este trabajo de preparación desde el principio, ese contrato pierde todo su valor técnico.

Vuelvan a la mesa de negociación y pregunten por la opción de compromiso previo con cero horas. Algunas empresas no cobran una cuota anual por adelantado; solo mantienen listos el precontrato y los permisos de acceso y si ocurre un incidente, facturan a 450-500 dólares la hora. En lugar de comprometer 12 mil dólares en efectivo, este modelo representa una transición mucho más razonable para su escala.

Corrección: recordaba mal la cifra, era un poco más baja.

Yo también estaba pensando en lo mismo. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Lo dejo como nota, por si sirve.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. en fin empezad con una pequeña prueba, no lo integréis todo de golpe.

También me gustaría saber si alguien lo hace de otra manera.

La respuesta de arriba ha dado en el clavo. El tiempo que tardas en detectar un problema determina directamente su coste.

Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después. También me gustaría saber si alguien lo hace de otra manera.

No sabía eso.

La discusión se ha dispersado voy a ordenarla. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones. Ánimo.

Yo no me apresuraría. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

El año pasado nos pasó casi exactamente lo mismo. Antes de decidir, mirad qué datos tenéis en la mano.

También me gustaría saber si alguien lo hace de otra manera.

Esto también tiene su parte de medición. El tiempo que tardas en detectar un problema determina directamente su coste.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Si no me equivoco, quieres decir esto: La respuesta varía mucho según el sector, no hay una regla general.

Yo seguiría por ese camino.

Gracias, esa era la respuesta que buscaba.

Correcto.