Gestión de la respuesta a incidentes
La gestión de la respuesta a incidentes abarca dos aspectos distintos que revisten igual importancia: contar con un plan real antes de que ocurra nada y disponer de alguien que pueda realmente tomar las riendas cuando algo suceda. Un plan que nadie ha ensayado no es más que un documento. El apoyo a la respuesta en medio de un incidente activo es una habilidad totalmente distinta, y ambas deben estar perfectamente coordinadas; de lo contrario, se terminará improvisando en el peor momento posible.
Lo que he observado que suele salir mal con mayor frecuencia en un incidente real no es un fallo técnico, sino un fallo en la toma de decisiones: no hay nadie claramente al mando, los departamentos jurídico y de TI reciben información contradictoria, y se pierden horas preciosas tratando de averiguar quién está autorizado a tomar la decisión de desconectar un sistema. Una buena gestión de la respuesta a incidentes resuelve esto antes de que ocurra, mediante la elaboración de un plan con funciones, competencias y vías de comunicación claras, y lo resuelve durante el propio incidente al contar con una persona con experiencia que dirija efectivamente la respuesta.
Cómo trabajo con los clientes
Antes de que ocurra nada, le ayudo a elaborar o reforzar un plan de respuesta a incidentes específico para su entorno: quiénes forman parte del equipo de respuesta, cuál es su autoridad real, cómo se comunicarán tanto a nivel interno como externo —incluidas las obligaciones de notificación de violaciones de datos en caso de que se vean afectados datos regulados— y cómo es su relación con el asesoramiento jurídico, los seguros y los recursos forenses antes de que los necesite, no después.
Si se encuentra en medio de un incidente activo, la prioridad pasa a ser, en primer lugar, la contención —detener la hemorragia antes de buscar la causa raíz—; a continuación, la investigación, la comunicación y la recuperación, en un orden que no empeore la situación. He visto cómo algunas organizaciones destruían evidencia forense al entrar en pánico y borrar los sistemas antes de que nadie comprendiera lo que había sucedido. Tomarse la primera hora con calma, lo justo para tomar decisiones meditadas, suele ahorrar días de trabajo más adelante.
¿A quién va dirigido?
Si no dispone de un plan de respuesta a incidentes documentado, si el que tiene nunca se ha puesto a prueba o si en estos momentos se enfrenta a un posible incidente activo, esta es la conversación que debe mantener de inmediato.
Si está ocurriendo algo en este mismo momento, póngase en contacto conmigo directamente. Si está planificando con antelación, el mismo enlace le servirá; elaboremos el plan antes de que lo necesite.