Tema 5: Detección y Documentación de Incidentes

Tema 5. Detección y documentación de incidentes de ciberseguridad

• La unidad formativa 5 "Vuelta a la normalidad" se centra en las actividades post-incidente, como el análisis, las lecciones aprendidas, el informe final, la comunicación del incidente y la implantación de ciberresiliencia.
• El análisis del incidente incluye la investigación post-incidente, el proceso de lecciones aprendidas, acciones de mejora y la recopilación y retención de pruebas.
• El informe final y la comunicación de ciberincidentes incluye el seguimiento y la realización del informe final, con plantillas para la organización, y un plan de comunicación para un ciberincidente.
• La implantación de capacidades de ciberresiliencia se desarrolla a partir de las lecciones aprendidas, implementando medidas proactivas y preventivas, para que la organización se enfrente adecuadamente a futuros incidentes de seguridad.
• La unidad formativa se complementa con actividades relacionadas con la adopción de medidas de ciberresiliencia enfocadas al engaño mediante el uso de una red de honeypots.

Tema 5.2. Análisis del incidente y lecciones aprendidas

• Una vez recuperada la fase de recuperación, se lleva a cabo una investigación más profunda del incidente de ciberseguridad.
• La investigación busca determinar las causas raíz de los problemas, así como cuantificar el impacto (financiero, reputacional, de gestión o de cumplimiento regulatorio), e identificar a los autores.
• El cierre adecuado de los incidentes de ciberseguridad es clave para evitar consecuencias graves y evaluar futuras mejoras.
• Una revisión posterior al incidente proporciona datos reales sobre los impactos, facilitando la evaluación del plan de respuesta a los ciberincidentes y el presupuesto.
• Se deben analizar las acciones del personal y la dirección durante el incidente e identificar posibles mejoras para futuros incidentes.
• Se deben investigar posibles precursores o indicadores para detectar futuros incidentes similares.
• Determinar qué herramientas o recursos adicionales se necesitan para mitigar futuros incidentes.
• Evaluar si el equipo de respuesta a incidentes tiene la autoridad adecuada para responder al incidente.

Tema 5. Detección y documentación de incidentes de ciberseguridad 5.3. Informe final y comunicación de ciberincidentes

• Es importante documentar todos los incidentes y las medidas tomadas.
• Los incidentes similares pueden volver a ocurrir o pueden ser parte de un incidente mayor.
• Se debe informar a las partes interesadas internas y externas.
• La alta dirección de la organización debe recibir un informe documentado sobre el incidente y las medidas tomadas.
• El informe debe incluir una descripción completa del incidente, las medidas adoptadas, la estimación del coste financiero y otras repercusiones.
• Se deben recomendar controles mejorados o adicionales.