Plan de respuesta a incidentes para una empresa de 10 personas: ¿qué debería incluir sin volúmenes y volúmenes de documentos?

Lo primero que deberíais hacer es no guardar ese plan en el servidor de la empresa. Cuando entra un ransomware no podréis acceder a vuestro propio servidor. Que haya una copia impresa en casa del gerente y del líder técnico, y otra copia en una carpeta de nube externa independiente. Para comunicaros, también hay que definir desde el principio un canal fuera del correo corporativo.

Llevamos una agencia de tamaño similar en Múnich. El año pasado hackearon la cuenta de correo de uno de nuestros clientes. Como no habíamos escrito de antemano quién llamaba a quién, perdimos las primeras 4 horas con pánico interno y preguntándonos cosas unos a otros. Después de ese incidente sacamos un diagrama de flujo de una página. Nos llevó solo 3 horas prepararlo, pero en un pequeño problema de DNS posterior nos organizamos en 20 minutos.

El mayor error que se comete en el lado técnico es tirar del cable del servidor presa del pánico o reiniciarlo enseguida. Se borran los registros de memoria volátil en la RAM y no podréis detectar por dónde entró el atacante. En el plan debe figurar claramente la regla de "no apagues la máquina, solo desconecta el cable de red o desactiva el adaptador de red del servidor virtual".

Si operáis en Alemania, no dejéis de lado la parte legal. En vuestro plan de respuesta a incidentes debe figurar como paso claro la obligación de notificación en 72 horas a la autoridad de control competente conforme al artículo 33 del GDPR y, si procede, el proceso de comunicación a los titulares de los datos. Las empresas suelen dejar pasar este plazo entre el caos interno.

Esos formularios de auditoría que envían vuestros clientes son listas de control corporativas. El plan de dos páginas que preparéis funcionará genial internamente, pero el auditor corporativo puede pedir puntos como un centro de operaciones 24/7. Escribid el plan, pero al presentarlo al cliente dejad claro el marco diciendo "plan ágil adaptado a una estructura organizativa de 10 personas", si no os vais a complicar sin necesidad.

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

en nuestro equipo tb somos 8, cuando nos pasó algo parecido nos dimos cuenta de q nadie sabía el número del abogado. la lista de teléfonos de emergencia y la dirección de contacto alternativa de cada uno es la parte más crítica... q el archivo se llame plan de respuesta a incidentes ya vale q el contenido se quede en 2 páginas de resumen.

¿Vuestro cliente en la auditoría solo pregunta si existe el plan o también pide el último informe de pruebas y la validación de terceros? Algunas auditorías solo quieren ver el acta del simulacro, mientras que otras piden un informe de auditoría externa. ¿Habéis revisado el anexo de seguridad de vuestro contrato?

No os carguéis de trabajo, no hace falta ahogaros en plantillas corporativas. Añadid también a vuestro plan una clasificación sencilla que indique el nivel del incidente: Bajo (afectado un solo usuario), Medio (hay interrupción del servicio pero los datos están a salvo), Alto (fuga de datos o pérdida de datos críticos). Esta clasificación deja muy claro a quién hay que avisar y cuándo.

Estoy en la misma situación, por eso pregunto. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde. Si escribís el resultado aquí, también servirá de ayuda a otros.

De acuerdo, incluso me gustaría recalcarlo. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Tengo una pregunta no quiero desviarme del tema pero... bueno los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo. Corrijanme si me equivoco.

Muchas gracias, lo probaré hoy.

lo probaré luego antes de decidir, miirad qué datos tenéis en la mano.

también me gustaría saber si alguien lo hace de otra manera.

Este hilo es para archivar.

A nosotros nos pasó esto. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

También me gustaría saber si alguien lo hace de otra manera.

Tema muy oportuno.

voy a resumir el tema, porque se han dado varias respuestas diferentes. la mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

esepro que le sea útil.

Sí, la situación con plan de respuesta a incidentes es exactamente así. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.