Tema 5: Detección y Documentación de Incidentes

Study Notes

La unidad formativa 5 "Vuelta a la normalidad" se centra en las actividades post-incidente, como el análisis, las lecciones aprendidas, el informe final, la comunicación del incidente y la implantación de ciberresiliencia.
El análisis del incidente incluye la investigación post-incidente, el proceso de lecciones aprendidas, acciones de mejora y la recopilación y retención de pruebas.
El informe final y la comunicación de ciberincidentes incluye el seguimiento y la realización del informe final, con plantillas para la organización, y un plan de comunicación para un ciberincidente.
La implantación de capacidades de ciberresiliencia se desarrolla a partir de las lecciones aprendidas, implementando medidas proactivas y preventivas, para que la organización se enfrente adecuadamente a futuros incidentes de seguridad.
La unidad formativa se complementa con actividades relacionadas con la adopción de medidas de ciberresiliencia enfocadas al engaño mediante el uso de una red de honeypots.

Una vez recuperada la fase de recuperación, se lleva a cabo una investigación más profunda del incidente de ciberseguridad.
La investigación busca determinar las causas raíz de los problemas, así como cuantificar el impacto (financiero, reputacional, de gestión o de cumplimiento regulatorio), e identificar a los autores.
El cierre adecuado de los incidentes de ciberseguridad es clave para evitar consecuencias graves y evaluar futuras mejoras.
Una revisión posterior al incidente proporciona datos reales sobre los impactos, facilitando la evaluación del plan de respuesta a los ciberincidentes y el presupuesto.
Se deben analizar las acciones del personal y la dirección durante el incidente e identificar posibles mejoras para futuros incidentes.
Se deben investigar posibles precursores o indicadores para detectar futuros incidentes similares.
Determinar qué herramientas o recursos adicionales se necesitan para mitigar futuros incidentes.
Evaluar si el equipo de respuesta a incidentes tiene la autoridad adecuada para responder al incidente.

Es importante documentar todos los incidentes y las medidas tomadas.
Los incidentes similares pueden volver a ocurrir o pueden ser parte de un incidente mayor.
Se debe informar a las partes interesadas internas y externas.
La alta dirección de la organización debe recibir un informe documentado sobre el incidente y las medidas tomadas.
El informe debe incluir una descripción completa del incidente, las medidas adoptadas, la estimación del coste financiero y otras repercusiones.
Se deben recomendar controles mejorados o adicionales.

Podcast