Nos piden clasificar los incidentes con una 'taxonomía': ¿qué es y por qué complica la respuesta?

No le tengas miedo a la taxonomía. Abre una hoja de cálculo; pon en las columnas 'Fecha', 'Categoría', 'Nivel de gravedad', 'Activo afectado' y 'Respuesta realizada'. No vas a rellenar miles de filas al día; solo anota aquí los casos concretos en los que realmente hayas tenido que intervenir una vez a la semana o al mes.

Nosotros montamos una taxonomía con 15 categorías hace dos años; el equipo no podía ni trabajar de tanto rellenar formularios y nuestro tiempo medio de respuesta se disparó de 30 minutos a 2 horas. El año pasado redujimos las categorías a solo 3 epígrafes básicos y la tasa de registro llegó al cien por cien.

si consideras incidente cada intento fallido de ssh te vas a pasar la noche cerrando tickets. bueno separa el log del evento q entra en la taxonomía y lo demás se resuelve solo.

La razón principal por la que los auditores y las aseguradoras piden una taxonomía es ver si serás capaz de hacer un análisis de causa raíz adecuado si ocurre un desastre. Te exigen este lenguaje para que, cuando haya una fuga de datos, puedas decir 'acceso no autorizado por ingeniería social' en lugar de 'se rompió el sistema'.

Los 3 filtros de oro que debes seguir al registrar son: 1) ¿Se vio comprometida la integridad o confidencialidad de los datos? 2) ¿Se interrumpió el servicio prestado al cliente? 3) ¿Se activó algún plazo de notificación legal o contractual? Si la respuesta a estas tres preguntas es no, esa situación no es una crisis taxonómica, es un log de sistema rutinario.

¿En el formulario de la aseguradora exigen un estándar concreto (por ejemplo ISO 27035 o NIST SP 800-61) o solo piden una metodología definida internamente? Por lo general, basta con presentar tu propio documento.

Las grandes consultoras te lo venden como si una empresa de 5 personas tuviera que montar un centro de operaciones de seguridad de guardia 24 horas. En la mayoría de auditorías de clientes, les enseñas una tabla sencilla de una página diciendo 'así etiquetamos los incidentes' y cierran el tema al instante.

en nuestra primera auditoría entramos en pánico y copiamos un documento de taxonomía de la NATO de 40 páginas que encontramos en internet pero el auditor se rió y preguntó '¿de verdad aplicáis esto?'... lo sencillo es siempre lo más fiable.

Tengo una pregunta, no quiero desviarme del tema, pero... Lo importante no es la cifra, sino en qué se basa esa cifra.

Yo seguiría por ese camino.

Hace dos años viví exactamente lo mismo. Que todo el mundo haga algo no significa que sea lo correcto.

Espero que le sea útil.

tomo nota gracias.

Exacto y encima no es tan conocido. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Tiene razón.

Perdona, pero esto no es válido en todos los casos. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

El error cometido por taxonomía de incidentes ciber suele ser reversible, pero caro. Esta es mi opinión, no lo escribo como una verdad absoluta.

Tema muy oportuno.

Aquí hay una trampa, no puedo dejar de mencionarla. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.