Detección y respuesta ante incidentes cibernéticos: ¿quién hace qué en un equipo pequeño y cómo reparto los roles?

Lo primero que deberían hacer es activar la función de aislamiento automático de red en los endpoints. Dos personas no pueden revisar logs, pero si ante un comportamiento sospechoso el cliente se desconecta solo de la red, ganan horas para responder.

En un equipo de dos la división del trabajo está clara: uno apaga el fuego y el otro le explica al jefe por qué la empresa no ha quebrado todavía. Ya en serio sin automatización o soporte externo, un ataque que empiece a las 3:00 am lo descubres al entrar por la mañana.

Armen una guía de respuesta sencilla usando plantillas preparadas. 1) Cortar red, 2) Resetear contraseñas, 3) Sacar imagen. Cuando hay lío miras el papel y sigues los pasos, en momentos de pánico es lo que mejor funciona.

En mi empresa somos tres en TI y pasamos por la misma presión. La gerencia asumía que podíamos con todo. Al final les presentamos una tabla de costes clarísima: si quieren monitoreo 24/7 o contratan personal para hacer turnos o externalizamos el servicio. El servicio externo salió muchísimo más barato que contratar gente y ganamos tranquilidad.

¿Qué política de backups tienen actualmente? La base de la respuesta a incidentes es poder restaurar desde una copia limpia. ¿Prueban con frecuencia los backups aislados completamente de la red de sus servidores y datos críticos?

Muchas empresas que venden servicios de monitoreo a pymes solo reenvían alertas en bruto. Si te van a mandar un correo a medianoche diciendo "tienes una petición sospechosa desde tal IP" y te dejan el problema a ti, no tiren el dinero. Busquen servicios que realmente puedan aislar el endpoint.

Incluyan sí o sí estos 3 puntos en su plan: 1) Prohibición de que nadie tome la decisión de pagar un rescate por su cuenta, 2) Obligatoriedad de conservar imágenes de disco como evidencia antes de formatear, 3) Canal de comunicación alternativo si el correo corporativo cae durante la crisis.

¿El servicio de seguridad gestionado cubre también el correo en la nube o solo monitorea los PCs físicos de la oficina? o sea pregunto porque en nuestra empresa tenemos un esquema parecido.

edit: arriba escribí mal, disculpad.

Quisiera hacer una pregunta... Si intentas cambiarlo todo a la vez nada termina de asentarse.

Las decisiones apresuradas son las que hay que corregir seis meses después. Ánimo.

Tiene razón. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Eso es todo, disculpa si me he extendido demasiado.

No te olvides de: La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

La respuesta de arriba ha dado en el clavo. Antes de decidir, mirad qué datos tenéis en la mano.

Esta es mi opinión no lo escribo como una verdad absoluta.

Creo que este consejo no sirve para todos. La mayoría de los incidentes no empiezan por una vulnerabilidad sino por una contraseña filtrada.

Ánimo.

Hace mucho que oímos eso, pero a nosotros nunca nos pasó así. Antes de decidir, mirad qué datos tenéis en la mano.

La respuesta varía mucho según el sector, no hay una regla general.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Comprobado por experiencia.

Totalmente. Si tuviera que añadir algo más: Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Corrijanme si me equivoco.

Muchas gracias, lo probaré hoy. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Corrijanme si me equivoco.

Estoy siguiendo esto.