Tenemos que preparar un plan de respuesta a incidentes, ¿sirven las plantillas de internet?

La mayor carencia de las plantillas es la instrucción de aislamiento técnico. Cuando un ransomware infecta una máquina, en lugar de desenchufarla hay que quitar el cable de red y extraer una imagen de la memoria RAM. Estos detalles técnicos deben figurar en el plan en puntos breves.

Coge la plantilla y deja solo los encabezados... Cuando escribimos nuestro primer plan indicamos el móvil de todos y el sustituto de la persona que apagaría el servidor en caso de emergencia... en fin lo imprimimos y lo colgar en el tablón de la oficina, es lo más limpio.

¿En cuántas horas exige vuestro cliente por contrato que le aviséis en caso de una posible brecha de datos? Si no ponéis ese plazo en el centro del plan, se considerará incumplimiento de contrato.

El mes pasado pasamos por una auditoría corporativa similar. Presentamos un plan sencillo de 6 páginas. El auditor aprobó directamente este plan corto con roles claros en vez de plantillas de 50 páginas de copiar y pegar.

Nadie se pone a leer un PDF de 40 páginas en un momento de crisis. Si no habéis simulado un escenario sobre la mesa con todo el equipo al menos una vez, el plan que tenéis es solo un pedazo de papel para engañar al auditor.

Procurad tener a mano estos tres contactos en el plan: 1) La línea de soporte urgente 24/7 de vuestra empresa de hosting, 2) El número directo de vuestro abogado, 3) El contacto de un experto externo en ciberseguridad.

cuando nos hackearon teníamos plantilla pero las contraseñas se quedaron bloqueadas en el servidor donde estaba la plantilla. os recomiendo imprimir el plan sí o sí y guardarlo en un cajón.

¿Cómo se hace exactamente eso de la simulación teórica? ¿Nos reunimos con el equipo y solo comentamos el escenario o hay q apagar los sistemas técnicamente y hacer una prueba?

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Tienes razón, yo también pasé por lo mismo. Todos los que se apresuran con plan de respuesta a incidentes se atascan en el mismo punto.

Por supuesto, cambia si tu situación es diferente.

Sí, la situación con plan de respuesta a incidentes es exactamente así. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

También me gustaría saber si alguien lo hace de otra manera.

Resumen breve para nuevos usuarios: Lo importante no es la cifra, sino en qué se basa esa cifra.

Dejo una advertencia. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Perdona, pero esto no es válido en todos los casos. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Yo seguiría por ese camino.

Le agradecería que compartiera el resultado.

La discusión se ha dispersado, voy a ordenarla. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Espero que le sea útil.

Después de vivir eso, mi perspectiva cambió. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Eso es todo, disculpa si me he extendido demasiado.

Me han quedado claras las dudas, gracias. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después. Comprobado por experiencia.