Ciclo de vida de respuesta a incidentes: ¿cómo implementarlo en una empresa pequeña?

Que los estándares BSI no te asusten, la base es puro sentido común. El error más típico en las pymes es no saber de quién es la responsabilidad. En plena crisis, ¿quién toma la decisión: el jefe de oficina, el técnico de TI externo o el dueño de la empresa? Si no dejáis esa autoridad fijada por escrito desde ya, cuando haya un ataque perderéis horas solo cruzando llamadas telefónicas.

En el paso de contención, lo único que debe hacer el personal es cortar la conexión física a la red. Reiniciar el equipo o desenchufarlo de la corriente borra el rastro del malware en la RAM. En cuanto se saca el cable de red, las posibilidades de que el perito externo analice la memoria y dé con el origen del malware aumentan muchísimo.

Como primera medida, haced mañana por la mañana estas tres cosas: 1) Imprimid el teléfono de emergencias de vuestro soporte de TI externo y pegadlo en un tablón. 2) Haced una copia de seguridad semanal en un disco externo y guardadlo bajo llave en una caja fuerte. 3) Decidle al equipo que ante cualquier sospecha no apaguen el equipo, solo le quiten internet. Con eso ya tenéis lista la mitad de la fase de preparación.

A nosotros nos pilló un ransomware similar hace dos años totalmente desprevenidos. Tuvimos que pagar 6.500 EUR a un equipo externo para recuperar el servidor y hacer el análisis forense. Si tres meses antes hubiéramos preparado un protocolo de emergencia básico, no habríamos tenido ni la mitad de ese gasto.

hay una cosa que no entiendo ¿por qué iba a ser malo apagar el ordenador? bueno si le cortas la corriente el virus deja de ejecutarse ¿no es más lógico desenchufarlo de golpe?

Ni se os ocurra comprar las plantillas enormes de frameworks que venden los consultores. Intentan que una pyme rellene formularios de cien puntos y cuando llega la crisis, nadie abre esa carpeta. Todo lo que no sea una checklist sencilla es perder el tiempo.

En resumen, el ciclo son cuatro pasos: antes de que pase nada ten listo el plan de contactos y los backups, ante cualquier sospecha aísla el equipo de la red, haz la limpieza con el informático y cuando pase todo documenta el fallo y blinda el sistema.

Yo pasé por esto, déjenme contarlo. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Tomar notas durante dos semanas da mejores resultados que estimar seis meses. Por supuesto, cambia si tu situación es diferente.

En este punto no estoy de acuerdo con ustedes. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Llevé mucho tiempo con este asunto. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Si es la primera vez que lo hacéis, empezad poco a poco la escala llegará después. Espero que le sea útil.

Voy a contar mi experiencia. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Si escribís el resultado aquí, también servirá de ayuda a otros.

La discusión se ha dispersado, voy a ordenarla. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Creo que es difícil hablar con tanta claridad sobre ciclo de vida de respuesta a incidentes. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Yo seguiría por ese camino.

Guardado.

Hablaré desde el otro lado, yo estoy en el lado del proveedor. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Yo seguiría por ese camino.

Hace dos años viví exactamente lo mismo. Una copia de seguridad no probada no es una copia de seguridad.

Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo. Corrijanme si me equivoco.

Os explico cómo se hace en la práctica. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Comprobado por experiencia.