¿Debería crear un equipo de respuesta ante incidentes o basta con una lista de teléfonos?

Colgar una lista no basta, pero tampoco preparéis un manual de cincuenta páginas. Imprimid una hoja plastificada: 1) Desconecta el cable de red no apagues el ordenador (para no perder pruebas). 2) Avisa a Carlos. 3) Llama al técnico externo. 4) No teclees contraseñas en pantallas sospechosas. En una oficina de cinco personas, lo único que salva la papeleta son los reflejos de los primeros cinco minutos.

El año pasado pasamos por algo similar en nuestra empresa de logística de siete personas. No teníamos ningún procedimiento, el especialista en respuesta a emergencias que contratamos de fuera nos cobró 180 EUR la hora y nos gastamos 2.200 EUR en total. Si hubiéramos hecho un contrato de retainer pagando 120 EUR al mes desde el principio, el sistema habría estado caído una hora en vez de seis y el coste habría sido la mitad.

Que los empleados desenchufen y apaguen el equipo durante un ataque es el mayor error desde el punto de vista del análisis forense. Al apagar el equipo, se borran de la memoria (RAM) las huellas del atacante y las claves de cifrado. Al definir los roles, enseñad a vuestro personal técnico a desconectar la red (apagar el Wi-Fi, quitar el cable ethernet), pero dejad clarísima la regla de mantener el equipo encendido.

Intentar montar un comité en una oficina de cinco personas me parece de risa. Si ya se sientan todos al lado. Seamos realistas: alguien de dentro no se va a convertir en experto en seguridad. Lo importante es saber a quién llamar fuera y probar periódicamente que las copias de seguridad están en un entorno aislado de verdad. Los títulos de los equipos solo sirven para gastar papel.

Nos pasó en nuestra agencia de tres socios en Turín. Una mañana apareció una nota de rescate en el ordenador de contabilidad. Nadie se atrevía a llamar al jefe, el becario instaló un programa de limpieza que encontró en Google y borró todos los registros. Al final por notificar tarde a la autoridad italiana de protección de datos (Garante), nos expusimos a miles de euros en sanciones administrativas. Todo por no tener clara la cadena de mando.

somos tres en la empresa y montamos un grupo de whatsapp si pasa algo escribimos ahi directamente y el responsable tecnico de la empresa externa tmb esta en el grupo... de momento en dos correos sospechosos lo solucionamos al instante no hace falta andar buscando lstas ni nada.

En caso de una posible fuga de datos, ¿qué dicen los contratos con vuestros clientes? Según la normativa italiana, tenéis un plazo de notificación de 72 horas. ¿Quién en vuestra empresa tiene legalmente la autoridad para hacer la declaración oficial a los clientes y a las autoridades en esas 72 horas? Más allá de la parte técnica, ¿habéis determinado esta firma autorizada al formar el equipo?

Resumiendo el debate, la fórmula para una empresa de cinco personas es sencilla: definir a una sola persona internamente para tomar decisiones, capacitar al personal para que no apague el equipo sino que solo corte el internet y firmar un contrato informático externo con garantía de respuesta. No se necesita ni un comité burocrático ni una lista de teléfonos pasiva.

Tomo nota, gracias.

Guardado.

¿Creen que esto funciona a cualquier escala? Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

También me gustaría saber si alguien lo hace de otra manera.

No sabía eso.

Me pasó lo mismo.

Voy a resumir el tema porque se han dado varias respuestas diferentes. Si decidimos sin medir, siempre acabamos en el mismo punto.

Ánimo.

Yo también estaba pensando en lo mismo. Si regañas las falsas alarmas, nadie volverá a reportar.

Comprobado por experiencia.

Rara vez se encuentra un texto que lo explique tan claro. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

La respuesta varía mucho según el sector, no hay una regla general. Lo dejo como nota, por si sirve.

estoy de acuerdo luego las decisiones apresruadas son las que hay que corregir seis meses después.

un informe de escaneo automático no es lo mismo que una prueba de penetración.

Gracias por escribir esto, es lo correcto. Si no lo pones por escrito desde el principio, luego surgen discusiones.

También me gustaría saber si alguien lo hace de otra manera.