Nos piden un procedimiento de respuesta a incidentes cibernéticos: en una pyme como la nuestra, ¿quién lo redacta y por dónde empezamos?

Las grandes empresas meten estas cláusulas en contratos estándar para gestionar riesgos de proveedores. Ojo con hacer un copy-paste de internet metiendo términos como 'equipo SOC' o 'centro de operaciones de seguridad'. Si mañana hay un fallo mínimo y os preguntan '¿aplicaron su procedimiento?', no sabréis dónde meteros.

Sacad un folio A4 ya mismo y poned arriba una cadena de contactos de emergencia. 1) ¿A quién avisa el primero que vea el problema? 2) ¿Quién desenchufa todo o corta internet? 3) ¿Con qué plantilla de correo se avisa al cliente? Lo pasáis a Word lo firmáis y listo.

En la parte técnica lo más crítico es la gestión de logs. Añadid sí o sí dónde se guardan los logs del sistema y cuánto tiempo se conservan las copias aisladas de la red. Si pasa algo, el perito externo querrá ver al menos los últimos 30 días de historial.

Queda muy bien con los clientes corporativos si añadís esta clasificación de 3 niveles: 1) Bajo: Un correo de phishing recibido por un usuario y borrado sin abrir. 2) Medio: Un equipo infectado con virus pero sin propagación por red. 3) Alto: Acceso no autorizado a base de datos de clientes o servidores bloqueados.

¿El cliente solo pide el documento o exige anexos como informes de simulacros del último año o pruebas de penetración? Mirad con lupa las demás cláusulas del pliego.

Hace dos años nos lo pidieron siendo un proveedor de automoción de vuestro tamaño. Les entregamos un texto de 30 páginas nivel multinacional. A los tres meses entró malware en el PC de un empleado y no avisamos al cliente. En la auditoría saltó que no cumplimos el procedimiento y nos cayeron 50.000 TL de multa. Poned poco y claro pero cumplidlo a rajatabla.

no os pánico ni tiréis el dinero en asesores. siendo 15 persona con dejar claro a quien llamar y q las copias estan offline sobra pa la empresa grande

Estos documentos que exige compras suelen ir orientados a los controles básicos de la ISO 27001. Incluir en el texto las obligaciones de notificación de brechas de la KVKK y los mecanismos de aprobación de la directiva os cubrirá bien a nivel legal.

Después de vivir eso, mi perspectiva cambió. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Lo dejo como nota, por si sirve.

resumen breve para nuevos usuarios: Que todo el mundo haga algo no significa que sea lo correcto.

comprobado por experiencia.

Pienso diferente. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Ánimo.

Han surgido tres opiniones distintas, todas se complementan. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Espero que le sea útil.

Estoy de acuerdo. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Comprobado por experiencia.

Creo que este consejo no sirve para todos. Todos los que se apresuran con procedimiento de respuesta a incidentes ciberneticos se atascan en el mismo punto.

También me gustaría saber si alguien lo hace de otra manera.

la discusión se ha dispersado voy a ordenaarla y si intentas cambiarlo todo a la vez nada termina de asentarse.

corrijanme si me equivoco.

Exactamente así. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Si intentas cambiarlo todo a la vez nada termina de asentarse.

Creo que este consejo no sirve para todos. Las decisiones apresuradas son las que hay que corregir seis meses después.

Comprobado por experiencia.

Voy a detallar un poco el aspecto técnico. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Si escribís el resultado aquí, también servirá de ayuda a otros.