Vamos a firmar un contrato de respuesta a incidentes — ¿en qué cláusulas debemos ponernos firmes?

Los puntos de control técnico esenciales a incluir son: 1) Definición objetiva de los niveles de severidad del incidente (P1-P4), 2) Que el multiplicador de la tarifa por hora extra no supere el precio del paquete prepagado, 3) Certificaciones forenses del equipo asignado (GCFA, GCFE, etc.), 4) Límite máximo de 10 días laborables para la entrega de actas e informe final.

Nosotros cerramos un contrato similar para un equipo de 50 personas por 15.000 dólares. En todo el año no tuvimos ningún incidente. Gracias a la cláusula que pusimos al principio, reconvertimos las 35 horas que nos quedaban en un pentest completo en la nube el último mes; el dinero no se tiró a la basura.

¿Por qué no consideras un modelo de "retainer de coste cero" (zero-cost retainer) en lugar de pagar todo por adelantado? La tarifa por hora en una crisis será un poco más alta, pero si no pasa nada no mantienes 18.000 dólares bloqueados al año. Si a tus clientes solo les importa que exista el contrato, este modelo renta mucho más.

Ojo con la cláusula de autorización de accesos. La empresa podría pedir permisos de administrador global en todo tu entorno cloud para emergencias. Debes exigir en el contrato que el acceso se limite a servidores salto (jumpbox) predefinidos y cuentas de servicio con privilegios mínimos, siempre de forma auditable.

dejad bien claro quién tiene autoridad pa declarar una emergencia. solo 2 o 3 personas autorizadas de tu empresa deberían poder consumir horas del retainer si no un becario prresa del pánico te activa sin querer un proceso de miles de dólares.

Le sugerimos regular la confidencialidad de los datos del cliente a los que acceda el equipo de respuesta y fijar el límite de indemnización en caso de divulgación en al menos el doble del valor total del contrato, además de vincular la cláusula penal de forma recíproca.

¿Cuánto piden por hora extra en la propuesta de contrato si se superan las 40 horas? ¿Han puesto multiplicadores tipo 1.5 o el doble de la tarifa estándar para noches o días festivos?

Este hilo es para archivar.

No sabía eso. Todos los que se apresuran con acuerdo de respuesta a incidentes se atascan en el mismo punto.

Lo dejo como nota, por si sirve.

De acuerdo, incluso me gustaría recalcarlo. Que todo el mundo haga algo no significa que sea lo correcto.

Sí, la situación con acuerdo de respuesta a incidentes es exactamente así. La respuesta varía mucho según el sector, no hay una regla general.

Corrijanme si me equivoco.

Estoy en la misma situación, por eso pregunto. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Voy a contar mi experiencia. Si decidimos sin medir, siempre acabamos en el mismo punto.

Esta es mi opinión, no lo escribo como una verdad absoluta.

La discusión se ha dispersado, voy a ordenarla. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Intentar hacerlo solo es la vía más cara. Si escribís el resultado aquí, también servirá de ayuda a otros.

tienes razón yo también pasé por lo mismo. la gente no defiende el proceso, defiende la costumbre. la resistencia viene de ahí.

esta es mi opinión, no lo escribo como una verdad absoluta.

Me han quedado claras las dudas, gracias.

Tienes razón, yo también pasé por lo mismo. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Hay un error muy común al hacer esto. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Esta es mi opinión, no lo escribo como una verdad absoluta.