Nos exigen un «equipo de respuesta a incidentes de ciberseguridad» — ¿una empresa de 15 personas realmente necesita esto?

Las grandes multinacionales copian sus estándares internos y se los plantan al proveedor. Habla directamente con su equipo de seguridad. Ellos saben de sobra que con 15 personas no vas a montar un CSIRT interno. Si les muestras un contrato de soporte externo y una matriz de escalado interno, te dan el ok.

Nos pasó algo parecido con nuestro equipo de 20 personas en Dubái. Firmamos un contrato de respuesta bajo demanda con una empresa de seguridad por 12.000 AED al año. Nos garantizaron un SLA de respuesta de 4 horas. La auditoría del cliente aceptó el documento y firmamos.

edit: he corregido unas erratas.

No rechaces la cláusula de golpe pero tampoco la firmes a ciegas. Proponles un anexo al contrato indicando que la función del Equipo de Respuesta a Incidentes se cubre mediante un proveedor de seguridad externo certificado con garantías de SLA.

No te fíes de lo que diga el representante de atención al cliente sobre que no se puede flexibilizar, ellos son solo intermediarios. Las cláusulas de seguridad se negocian directamente con el CISO o el equipo de riesgos del cliente. Si el nivel de datos al que accede tu empresa no es crítico, puedes conseguir que te eximan totalmente de esta cláusula.

Le sugiero que consulte con su asesor legal antes de firmar el contrato. Si asume este compromiso sin llegar a un acuerdo con un proveedor externo y se produce una eventual brecha de seguridad, podrían surgir graves responsabilidades de indemnización por incumplimiento de contrato.

cuando nos pasó a nosotros pusimos a dos desarrolladores de guardia internamente pero el auditor no se lo tragó pero o sea lo mejor es contratar un retainer anual furea y te quitas de problemas.

¿A qué datos del cliente van a tener acceso? ¿Sus sistemas se van a integrar directamente en sus servidores o solo van a generar análisis en un entorno aislado? El nivel de acceso es su mejor baza para negociar las condiciones.

no os preocupéis para nada, este tipo de cláusulas siempre asustan en las licitaciones corporatiavs pero el objetivo no es arruinaros sino tener a alguien responsable al otro lado del teléfono si surge una crisis.

hace dos años viví exactamente lo mismo luego las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

si escribís el resultado aquí, también servirá de ayuda a otros.

Lo probaré.

Aquí tengo una objeción. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Antes de decidir, mirad qué datos tenéis en la mano. Por supuesto cambia si tu situación es diferente.

No sabía eso.

muchas gracias, lo probaré hoy pero la verdad cuanto más difíccil sea revertir una decisión más despacio debéis tomarla.

antes de decidir, mirad qué datos tenéis en la mano. bueno tambin me gustaría saber si alguien lo hace de otra manera.

hay tres cosas que revisar al hacer esto pero en fin si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

esta es mi opinión, no lo escribo como una verdad absoluta.

Han surgido tres opiniones distintas, todas se complementan. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Yo seguiría por ese camino.

¿Podría ampliar un poco esto? Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Que todo el mundo haga algo no significa que sea lo correcto. Eso es todo, disculpa si me he extendido demasiado.

Llevé mucho tiempo con este asunto. Cuanto más difícil sea revertir una decisión más despacio debéis tomarla.

Yo seguiría por ese camino.

Totalmente. Si tuviera que añadir algo más: No confíes en una sola medida; ve capa por capa.

Corrijanme si me equivoco.