Tema 5: Detección de Incidentes de Ciberseguridad

Tema 5. Detección y documentación de incidentes de ciberseguridad

• Introducción a la unidad formativa: La unidad formativa 5 "Vuelta a la normalidad" trata las actividades post-incidente, el análisis del incidente y las lecciones aprendidas, el informe final, la comunicación del incidente y la implantación de ciberresiliencia en la organización.

5.1. Introducción a la unidad formativa

• Actividades post-incidente: Incluyen el post-análisis del incidente, las lecciones aprendidas, el informe final y la comunicación del incidente, así como la implantación de capacidades de ciberresiliencia.

• Análisis del incidente y lecciones aprendidas: La fase de investigación post-incidente, las acciones de mejora y la recopilación de evidencias.

• Informe final y comunicación de ciberincidentes: El seguimiento y la realización del informe final del incidente, plantillas para la implementación y el plan de comunicación para un ciberincidente.

• Implantación de capacidades de ciberresiliencia: Se desarrollan medidas proactivas y preventivas a partir de las lecciones aprendidas para enfrentar incidentes futuros, enfocándose en la seguridad mediante la utilización de una honeynet.

5.2. Análisis del incidente y lecciones aprendidas

• Investigación posincidente: Una vez resuelta la recuperación, es necesaria una investigación más profunda para determinar la causa raíz del problema, el alcance del impacto empresarial (finanzas, reputación, etc.) y la autoría del incidente.

• Lecciones aprendidas: Los incidentes de ciberseguridad deben analizarse y las lecciones extraídas para evaluar posibles mejoras en las estrategias o prácticas de seguridad.

• Revisión del incidente: La evaluación del incidente debe llevarse a cabo para determinar las acciones incorrectas, y las mejoras necesarias para futuros incidentes.

5.3. Informe final y comunicación de ciberincidentes

• Seguimiento e Informe final del incidente: Se debe documentar todos los incidentes, las medidas tomadas y la comunicación a las partes interesadas internas y externas.

• Informe documentado: Se debe crear un informe documentado del incidente con la descripción completa del incidente, su historia, causas, y las medidas tomadas.

• Partes interesadas: El informe debe dirigirse a las partes interesadas internas y externas de forma efectiva.

• Plantilla de informe pos-incidente: Incluye información sobre el incidente, la evaluación de la severidad e impacto, y las causas raíz.

5.4. Implantación de capacidades de ciberresiliencia

• Principios básicos: Se amplían los métodos de acceso a la infraestructura con sistemas en la nube, redes sociales, dispositivos móviles y la política BYOD.

• Ataques persistentes avanzados (APT): Los atacantes cada vez son más expertos.

• Ciberresiliencia: La capacidad para anticipar, resistir, recuperarse y adaptarse a situaciones adversas, ataques o compromisos en los sistemas.

5.5. Ciberresiliencia

• Componentes de estrategias de ciberresiliencia: Incluir la identificación de métodos para prevenir la ocurrencia de incidentes, la integración de la gestión de incidentes en otros esfuerzos empresariales, y el despliegue de controles técnicos reforzados para la detección y respuesta a incidentes.

• Aspectos clave: Centrarse en las misiones o funciones esenciales de la organización.

• Asumir las amenazas: Reconocer y aceptar la posibilidad de que el adversario perpetúe la presencia en el sistema.

En esta unidad formativa, exploraremos las actividades necesarias tras un incidente de ciberseguridad, incluyendo el análisis del incidente, las lecciones aprendidas, y la creación de informes finales. También discutiremos cómo comunicar efectivamente los incidentes y cómo implementar capacidades de ciberresiliencia en una organización.