Nos exigen un "equipo de respuesta a incidentes de ciberseguridad": ¿una empresa de 20 personas realmente necesita esto?

No rechaces el punto de entrada. Responde esto al equipo de seguridad del cliente: gestionamos la respuesta a incidentes mediante un modelo híbrido a través de un proveedor externo especializado. La coordinación interna la lleva nuestro administrador de sistemas y la intervención de nivel 2 el socio externo. Con eso te lo suelen aprobar de una.

El año pasado pasamos por lo mismo en la auditoría de integración de un banco en Dubái. Firmamos un contrato de retención de respuesta a incidentes bajo demanda con un proveedor de seguridad local por 18.000 AED al año. Adjuntamos su contrato y el esquema de escalado que preparamos al formulario de auditoría, y la aprobaron sin hacer más preguntas.

En la auditoría, lo que realmente van a mirar no es tu infraestructura SIEM, sino cómo fluye la comunicación en el momento de la detección. Define un SLA de respuesta máximo de 2 horas para incidentes críticos, almacenamiento seguro de logs en un entorno separado y un protocolo de notificación por escrito al responsable del tratamiento en caso de fuga. Si este procedimiento está en el formulario, la auditoría técnica se da por cerrada.

edit: he corregido unas erratas.

¿En el borrador del contrato se exige obligatoriamente un ISO 27001 o certificación internacional similar, o solo piden declarar en el formulario que existe la unidad? ¿Tendréis acceso directo a la base de datos del cliente o el sistema solo se comunicará de forma aislada a través de API?

los de compras de los clientes corporativos copian y pegan la plantilla estándar. poned a vuestro equipo de dos personas como coordinador interno y meeted un contrato barato de soporte bajo demanda por fuera y listo, nadie espera que tengáis una sala de soc.

Hace dos años, cuando éramos 15 empleados, un cliente vinculado al sector público nos exigió exactamente lo mismo. Al principio nos entró el pánico e hicimos números para ver si contratábamos a dos personas más de seguridad, pero se nos iba del presupuesto anual. Luego hablamos con un conocido que es auditor presentamos un contrato de un proveedor externo y lo aceptaron a la primera. Perdimos el sueño para nada.

Ojo al hacer el contrato externo; algunas empresas solo mandan un informe de escaneo automático al mes y a eso lo llaman respuesta a incidentes. Si el auditor del cliente se pone quisquilloso y pregunta "si entra un ransomware a las tres de la mañana quién interviene", ese contrato de papel no sirve de nada. Elegid un proveedor al que de verdad se le pueda localizar por teléfono.

pedir un equipo de seguridad 24/7 a una empresa de veinte personas es como exigirle un camión blindado a una tinda de barrio. o sea los compradores corporativos a veces se piensan que los pequeños proveedores tienen el mismo presupuesto de seguridad que su propia empresa luego presentad el contrato externo y a otra cosa.

Sí, la situación con equipo de respuesta a incidentes de ciberseguridad es exactamente así. Si no lo pones por escrito desde el principio, luego surgen discusiones.

Antes de decidir, mirad qué datos tenéis en la mano.

Han surgido tres opiniones distintas, todas se complementan. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Eso es todo, disculpa si me he extendido demasiado.

Yo pasé por esto, déjenme contarlo. Las soluciones que funcionan a pequeña escala se rompen al crecer aprendí esto tarde.

Lo dejo como nota, por si sirve.

separemos los conceptos, se están confundiendo. en fin si intentas cambiarlo todo a la vez, nada termina de asentarse.

comprrobado por experiencia.

¿Podría ampliar un poco esto? Si regañas las falsas alarmas nadie volverá a reportar.

Corrijanme si me equivoco.

El camino que parece barato suele salir caro a la larga. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Tengo una pregunta, no quiero desviarme del tema, pero... Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Ánimo.

El año pasado nos pasó casi exactamente lo mismo. Intentar hacerlo solo es la vía más cara.

Ánimo.

Lo probaré.

Hay algo que no entiendo. Si el permiso y el alcance no están por escrito que no empiece la prueba.

También me gustaría saber si alguien lo hace de otra manera.