Gestión de Ciberincidentes en España

Este nivel representa el mayor riesgo potencial, incluyendo amenazas como los ataques de actores avanzados persistentes (APT), ciberterrorismo y daños informáticos graves.

Este nivel incluye ataques de malware, intentos de intrusión y sabotaje, que pueden resultar en daños significativos.

Este nivel agrupa amenazas como el contenido abusivo, los ataques DoS/DDoS, el acceso no autorizado a información y el phishing.

Este nivel engloba ataques como el discurso de odio, la ingeniería social y el compromiso de cuentas con privilegios.

Este nivel abarca amenazas como el spam, el escaneo y el compromiso de cuentas sin privilegios.

El Centro Criptológico Nacional del Centro Nacional de Inteligencia.

La Guía de Notificación y Gestión de Ciber Incidentes, aprobada en 2019 y actualizada en 2020, es una referencia estatal para la notificación de ciber incidentes.

Los Responsables de Seguridad de la Información (RSI) son responsables de cumplir con las obligaciones de reporte de incidentes de ciberseguridad.

Un equipo de respuesta a incidentes de seguridad informática (CSIRT) maneja y responde a incidentes de seguridad informática.

Un centro de operaciones de ciberseguridad (SOC) monitoriza y detecta amenazas de ciberseguridad.

La Ventanilla Única de Notificación es un proceso de notificación centralizado para los incidentes de ciberseguridad.

El ESPDEF-CERT es un organismo de ciberdefensa de las Fuerzas Armadas que recibe reportes relacionados con la Defensa Nacional.

El CNPIC es el centro de referencia para incidentes que afectan a la Infraestructura Crítica.

Contenido difamatorio o discriminatorio que busca dañar la reputación de una persona o grupo.

Material visual que contiene contenido sexual explícito o inadecuado.

Software que se instala en un sistema sin el conocimiento del usuario, con el objetivo de dañarlo o robar información.

Servidor que controla y da instrucciones a las computadoras infectadas con malware.

Analizar paquetes de datos en una red para observar y registrar el tráfico de información.

Recopilación de información personal sin utilizar tecnología, por ejemplo, a través de engaños o manipulación.

Aprovechar vulnerabilidades conocidas en un sistema para acceder a él o interrumpir su funcionamiento.

Los incidentes se categorizan como CRÍTICO, MUY ALTO o ALTO, con tiempos específicos de notificación (inmediata, 12 horas o 48 horas).

Los equipos de respuesta a incidentes (CSIRT) utilizan herramientas especiales para gestionar y controlar los incidentes.

Tras la notificación, el CSIRT realiza un análisis inicial para determinar si es un ciberincidente que necesita gestión.

Un ciberincidente se registra y se le asigna una clasificación de peligrosidad e impacto, que se comunica al informante.

El CSIRT asigna un identificador único a cada incidente para facilitar la comunicación.

El CSIRT necesita información detallada del incidente, como el tipo de evento, la fecha, el impacto y las acciones tomadas.

El CSIRT mantiene el incidente en estado abierto durante todas las fases de gestión, tomando las acciones necesarias.

La normativa específica para cada tipo de incidente (como ENS, GDPR, NIS) debe estar definida e identificada.

Una etapa en la gestión de ciber incidentes donde se ponen en marcha las acciones necesarias para prevenir que sucedan o, en caso de que ocurran, restaurar las operaciones lo antes posible.

Fase en la que se preparan las herramientas y protocolos para responder a un posible ciber incidente. Abarca aspectos como la formación del equipo, la actualización de contactos y la creación de planes de acción.

Fase en la que se identifiquen o detecten los ciber incidentes. Es esencial una monitorización completa del sistema para encontrar anomalías.

Indica que el ciber incidente ha sido resuelto y no hay ninguna amenaza activa. Esto significa que el afectado ha solucionado el problema y lo ha notificado al CSIRT.

Este estado se aplica cuando, a pesar de la detección del ciber incidente, el afectado no es vulnerable o no se ve afectado por la amenaza.

Define el estado del ciber incidente cuando se identifica una amenaza, pero el afectado ha estado monitoreando los sistemas y aplicaciones y no se ha detectado un incidente real.

El incidente se cierra después de 60 días si el afectado no ha proporcionado información sobre la resolución del incidente.

Se utiliza cuando el afectado no pudo resolver el ciber incidente, incluso con la ayuda del CSIRT, o no pudo solucionar el problema por sí mismo.

La fase consiste en identificar y evaluar el incidente, clasificar la criticidad y priorizar la respuesta, considerando los sistemas y la información afectados. Se buscan impactos en el negocio e incluye acciones como la recopilación de evidencia y la documentación de las medidas tomadas.

Consiste en documentar las acciones tomadas durante la gestión del incidente, incluyendo las herramientas de notificación utilizadas y la recopilación de evidencia para una investigación forense. Se busca mantener la cadena de custodia de la evidencia.

Se busca garantizar que la evidencia del incidente no se contamine. Se requiere seguir un protocolo específico para preservar la evidencia.

Medidas a corto plazo para limitar el impacto del incidente. Pueden incluir desconectar equipos de la red, filtrar o aislar la red, o redirigir o bloquear el tráfico externo.

Medidas a largo plazo para eliminar la causa del incidente. Pueden incluir aplicar parches de seguridad, eliminar procesos sospechosos, cambiar contraseñas comprometidas, o aplicar filtros de red adicionales.

Esta fase busca identificar las causas y síntomas del incidente para comprender su origen y la forma en que se desarrolló. Se busca eliminar el software malicioso usado por los atacantes y recuperar la última copia de seguridad limpia.

Busca restaurar el nivel de operación a su estado normal, permitiendo que las áreas de negocio afectadas retomen su actividad. Se debe definir un período de tiempo con medidas adicionales de monitorización de los sistemas antes de la puesta en producción.

Analizar el incidente para identificar las causas y lecciones aprendidas. Se elabora un informe detallado que incluye la descripción del incidente, su costo, y las medidas de prevención para evitar situaciones similares.