Respuesta a incidentes
Todo lo que he escrito sobre la respuesta a incidentes, empezando por los artículos de investigación. Cada uno termina con algo que puede poner en práctica el lunes.
¿Se enfrenta a alguno de estos problemas? Trabajo con organizaciones que necesitan respuestas, no otra presentación. Hablemos.
Qué incluye un artículo breve de cinco enfoques
La mayoría de los temas se presentan en una página con cinco secciones breves, siempre en este orden. Cada una tiene su propio color dentro del artículo para que pueda ir directamente a la que necesite.
- 1Por dónde empezaría: el primer paso que daría y la pregunta que haría antes de gastar nada.
- 2Dónde fallan los planes: dónde suelen venirse abajo los planes sobre este tema y qué supuesto pondría primero a prueba.
- 3Más allá de la jerga: qué significa realmente el tema cuando quitamos el lenguaje comercial de los proveedores.
- 4Cómo se ve un buen resultado: qué resultado demostraría que funcionó y qué cifra vigilaría.
- 5La decisión que los líderes no pueden eludir: la decisión que debe asumir la dirección y qué información necesita para tomarla.
Contráteme para ofrecer comentarios a los medios de comunicación sobre un incidente →
Servicios relacionados: Gestión de la respuesta a incidentes, Protección y recuperación frente al ransomware, Análisis forense digital, Simulacros de mesa.
-
¿Cómo se sabe si un simulacro cibernético ha detectado una brecha real en la capacidad de respuesta?
Evalúe la evidencia de los simulacros de respuesta a incidentes, separe el debate de la capacidad demostrada y verifique que las medidas correctivas subsanan las deficiencias detectadas.
-
Primera sesión informativa del consejo de administración tras una violación de la seguridad
En una sesión informativa sobre la respuesta a incidentes se deben diferenciar los hechos, las incertidumbres y las decisiones. A continuación, les explico cómo informaría a los ejecutivos mientras la investigación aún está en curso.
-
¿Qué evidencia demuestra que un incidente cibernético está en fase de contención?
Evalúe la contención de incidentes a través de rutas de acceso bloqueadas, sesiones activas, observaciones fiables y condiciones explícitas de reapertura, y no a partir de incidencias cerradas.
-
¿Qué debe hacer si se filtra la clave privada de un certificado TLS?
Responda ante la exposición de una clave privada TLS sustituyendo las claves, revocando los certificados afectados y comprobando el comportamiento de los clientes. Comprenda los límites de las sesiones y de los datos históricos.
-
¿Cuándo debe un incidente cibernético activar la gestión de crisis por parte de la dirección?
Establezca los desencadenantes de las crisis cibernéticas en función de las consecuencias para el negocio, la autoridad para tomar decisiones y el tiempo restante, y no en función del número de alertas ni de la espera de una certeza forense.
-
Compromiso del correo electrónico empresarial (BEC)
No abordaría el problema del compromiso del correo electrónico empresarial (BEC) adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Lo que haría sería identificar el ámbito de actuación, el responsable y...
-
Respuesta ante incidentes de seguridad en la nube
No comenzaría la respuesta ante una brecha de seguridad en la nube adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Lo primero que haría sería determinar el ámbito de actuación, identificar al responsable y...
-
Comunicaciones en situaciones de crisis
No comenzaría las comunicaciones de crisis adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de actuación, el responsable y una...
-
¿Desactivar primero la cuenta o revocar las sesiones? El orden que realmente funciona
Bloquee primero el inicio de sesión, a continuación revoque todas las sesiones y tokens, y por último restablezca la contraseña. A continuación se explica por qué es importante el orden y qué se omite en cada paso.
-
¿Informamos a los clientes antes de saber qué ha ocurrido?
Comunique a las personas con un plazo límite lo que sabe y lo que no sabe, a tiempo. Informe al resto cuando pueda aportar información veraz y útil. Cómo trazar esa línea.
-
Planificación de la erradicación
No comenzaría la planificación de la erradicación adquiriendo otra plataforma o poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de actuación, el responsable y un...
-
Conservación de evidencia
No comenzaría la conservación de evidencia adquiriendo otra plataforma o poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de aplicación, el responsable y una...
-
Triage de la primera hora
No comenzaría la evaluación inicial adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de actuación, el responsable a quien rendir cuentas y un escenario...
-
Respuesta a incidentes: lo que deben saber los ejecutivos
Una brecha de seguridad no se produce con una hora de inicio precisa, una lista completa de los sistemas afectados ni un atacante que le avise educadamente cuando se marcha. Se produce de forma imprevista...
-
Mando de incidentes
No comenzaría la gestión de incidentes adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de actuación, el responsable y un escenario...
-
Lecciones aprendidas tras un incidente
No comenzaría las lecciones tras un incidente adquiriendo otra plataforma o poniendo en marcha un programa de gran envergadura. Buscaría el ámbito de competencia, al responsable y a alguien...
-
Contención del ransomware
No comenzaría la contención del ransomware adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el perímetro, identificaría al responsable y...
-
El ransomware se está ejecutando. ¿Desenchufa el dispositivo o desconecta el cable de red?
Desconéctese de la red; no apague el dispositivo a menos que no tenga otra forma de aislarlo. Al apagarlo, se destruye la evidencia almacenada en la memoria que indica lo que ha ocurrido.
-
¿Deberíamos pagar el rescate y quién tiene la última palabra al respecto?
El pago es una decisión empresarial que compete al consejo de administración y que conlleva sanciones, consecuencias legales y de recuperación. ¿Quién debe hacerse cargo de ello?, ¿qué hay que comprobar en primer lugar? y ¿por qué el FBI desaconseja hacerlo?
-
Primera sesión informativa del consejo de administración tras una violación de la seguridad
La primera sesión informativa tras una intrusión grave es un ejercicio incómodo en el que hay que comunicar a las personas lo que se sabe sin fingir que se conoce el resto. Los ejecutivos...
-
La filtración ya es un hecho. ¿Cuándo debe recurrir a un asesor jurídico externo?
Antes de lo que cree, y por una razón que la mayoría de la gente no entiende.
-
La segunda infracción es la que le costará el puesto
La mayoría de las organizaciones sobreviven a una primera brecha de seguridad. La junta directiva se queda consternada, se destina dinero, llegan los consultores y todos coinciden en que ha sido una llamada de atención. La segunda...
-
Respuesta ante infracciones de terceros
No comenzaría la respuesta ante una violación de seguridad por parte de terceros adquiriendo otra plataforma o poniendo en marcha un programa de gran envergadura. Buscaría el ámbito de responsabilidad, el responsable a quien rendir cuentas, un...
-
Lo que debe hacer un director general durante la primera hora tras una violación de la seguridad
Designe al responsable del incidente, póngase en contacto con un asesor jurídico, suspenda las declaraciones externas y plantee cuatro preguntas. Lo que debe hacer un director general durante la primera hora y lo que debe evitar.
-
Qué debe conservarse antes de restablecer las credenciales tras una violación de la seguridad
Exporte los registros de inicio de sesión, los registros de auditoría, las reglas de buzón, los consentimientos de aplicaciones y los registros de autenticación multifactorial (MFA) antes de realizar cualquier acción en la cuenta. A continuación le ofrecemos la lista y le explicamos por qué cada elemento es importante.
-
¿Cuándo conviene recurrir a una empresa externa especializada en respuesta a incidentes?
Decida cuándo se necesitan equipos externos de respuesta ante incidentes, qué recursos solicitar y cómo verificar que un proveedor pueda movilizarse antes de que desaparezcan las opciones viables.
-
¿Cuándo se puede afirmar con seguridad que el incidente ha concluido?
No cuando los sistemas vuelvan a funcionar. Cuando sepa cómo han entrado, esa puerta estará cerrada, todos los mecanismos de persistencia habrán desaparecido y la supervisión de limpieza habrá funcionado el tiempo suficiente como para que sea fiable.
-
¿A quién debemos notificar tras una violación de la seguridad y en qué plazo?
El mapa de notificaciones: cuatro días hábiles según la SEC, 30 días según las medidas de protección de la FTC, 60 días según la HIPAA, leyes estatales, su aseguradora, sus contratos y la CIRCIA una vez que entre en vigor.
-
¿Quién se encarga de un incidente cuando los departamentos de TI y de seguridad no se ponen de acuerdo?
Un responsable designado para incidentes con autoridad sobre la contención, y un ejecutivo de la empresa que se encarga de las decisiones relativas al riesgo. Por qué funciona esta división y cómo plasmarla por escrito.
-
Su simulacro de respuesta a incidentes debería incomodar a los participantes
He visto suficientes planes de seguridad como para saber que un documento puede parecer tranquilizador hasta el momento en que alguien tiene que utilizarlo. El problema no siempre es que el plan sea...
No hay resultados. Pruebe con otra palabra o pregúnteme directamente.