Tema 5. Detección y documentación de incidentes de ciberseguridad PDF

# Tema 5. Detección y documentación de incidentes de ciberseguridad ## 5.1. Introducción a la unidad formativa La unidad formativa 5 "Vuelta a la normalidad" muestra las principales actividades post-incidente relacionadas con el post-análisis del incidente y las lecciones aprendidas. - El info...

# Tema 5. Detección y documentación de incidentes de ciberseguridad ## 5.1. Introducción a la unidad formativa La unidad formativa 5 "Vuelta a la normalidad" muestra las principales actividades post-incidente relacionadas con el post-análisis del incidente y las lecciones aprendidas. - El informe final y la comunicación del incidente - La implantación de capacidades de ciberresiliencia en la organización. ### Análisis del incidente y lecciones aprendidas - Muestra la investigación post-incidente, el proceso de lecciones aprendidas y las acciones de mejora. - La recopilación y retención de evidencias. ### Informe final y comunicación de ciberincidentes - Explica el seguimiento y la realización del informe final del incidente. - Plantillas a implantar en la organización para este propósito. - El plan de comunicación para un ciberincidente. ### Implantación de capacidades de ciberresiliencia - Desarrollo cómo a partir de las lecciones aprendidas, se pueden implantar medidas proactivas y preventivas para dotar de ciberresiliencia a la organización. - Enfrentamiento a futuros y desconocidos incidentes de seguridad. ### Esta unidad formativa se complementa con una actividad relacionada con la adopción de medidas de ciberresiliencia enfocadas al engaño mediante la utilización de una honeynet. ## 5.2. Análisis del incidente y lecciones aprendidas ### Investigación posincidente Una vez finalizada la fase de recuperación, es necesario investigar el incidente de ciberseguridad. - Averiguar lo que realmente ocurrió. - Sacar lecciones aprendidas. - Mejorar los controles, procesos y procedimientos. - Compartir datos con las diferentes partes interesadas. #### Los aspectos claves que deben cubrir esta investigación son: - **Realizar un análisis de la causa del problema.** - **Llevar a cabo la identificación de la causa raíz.** - **Cuantificar el impacto empresarial del incidente** - Por ejemplo, en términos de impacto financiero, de reputación, de gestión o de impacto en el cumplimiento regulatorio. - **Identificar a los autores del incidente de ciberseguridad.** - Resulta cada vez más complicado y costoso determinar la autoría. ### Lecciones aprendidas - Todos los incidentes de ciberseguridad, como cualquier otro incidente, deben cerrarse adecuadamente. - Es importante que se aprendan las lecciones de cada incidente para evaluar futuras mejoras. - Los incidentes de ciberseguridad pueden poner de manifiesto graves deficiencias en la estrategia o práctica de seguridad. #### Una revisión posterior al incidente - Muestra datos reales e impactos reales. - Ayuda a la organización a evaluar su plan de respuesta a los ciberincidentes y su presupuesto. - Todos los incidentes de ciberseguridad deben ser revisados formalmente tras la resolución del incidente. - Verificar si los mecanismos de seguridad o controles de mitigación necesitan ser puestos en marcha o adaptados para prevenir incidentes similares en el futuro. #### Algunas de las cuestiones que caben preguntarse y obtener respuesta son: - **¿Cómo actuaron el personal y la dirección en la gestión del incidente?** - **¿Qué harían el personal y la dirección de forma diferente la próxima vez que se produzca un incidente de ciberseguridad similar?** - **¿Se siguieron el plan y los procedimientos de gestión de incidentes de ciberseguridad? ¿Fueron adecuados?** - **¿Qué información se necesitaba antes?** - **¿Se dispuso de la información a tiempo?** - Si no, ¿habría sido posible tenerla antes y cómo? - **¿Hubo alguna medida o acción que pudiera haber impedido la recuperación?** - **¿Podría mejorarse el intercambio de información con otras organizaciones?** - **¿Qué medidas correctoras podrían evitar incidentes similares en el futuro?** - **¿Existen precursores o indicadores que deban controlarse para detectar más fácilmente incidentes similares en el futuro?** - **¿Qué herramientas o recursos adicionales se necesitan para detectar, analizar y mitigar futuros incidentes de ciberseguridad?** - **¿Tiene el equipo de respuesta de ciberseguridad la autoridad organizativa adecuada para responder al incidente?** - **¿Debería contratar a más personas o contratar a una empresa de consultoría, un abogado, etc, en caso de un futuro incidente de ciberseguridad?** - **¿Cómo se pueden incorporar los resultados a nuestra metodología de evaluación de riesgos?** - **¿Qué lecciones hemos aprendido?** - **¿Qué indicadores deberían vigilarse en el futuro para detectar incidentes similares?** #### Una parte esencial del seguimiento de un incidente de ciberseguridad es documentar, comunicar y aprovechar las lecciones aprendidas. - Este debe verse como un proceso continuo a través del cual se puede colaborar y aprender de los errores, incidentes y experiencias anteriores. - La comunicación a todas las partes interesadas debe ser clara, concisa y centrada en la resolución del problema y la mejora del control. #### Debe identificar claramente las lagunas de seguridad existentes y proponer medidas para mitigarlas. - Debe crearse un plan de acción que explique cómo la organización aprovechará las lecciones aprendidas del incidente para ser más resistente frente a futuros ataques de ciberseguridad. - El plan de acción debe incluir proyectos o iniciativas técnicas y no técnicas, que ayuden a reducir las posibilidades de éxito de un atacante y a responder de una forma más rápida y eficaz. - El análisis del incidente de ciberseguridad debe tener en cuenta si fueron carencias técnicas las que contribuyeron al éxito del atacante o si las deficiencias de las personas o de los procesos fueron las principales responsables. #### Cada acción debe asignarse a una persona determinada y se le debe asignar una prioridad y una fecha de finalización adecuadas. - El estado de todas las acciones debe ser supervisado para garantizar que se completan de manera oportuna y eficaz. Una plantilla de lecciones aprendidas: | Cuestiones por considerar | Areas por mejorar | Areas por mantener | | :--------------------------- | :------------------------------- | :---------------------------------------- | | ... | Unidad de negocio | Unidad de negocio | | | Centro de operaciones de Seguridad | Centro de operaciones de Seguridad | | | Responsable del sistema | Responsable del sistema | | | Proveedor | Proveedor | | | Usuario | Usuario | | | ... | ... | **Tabla 32. Ejemplo de plantilla lecciones aprendidas. Fuente: adaptado de HUD, s. f.** ### Recopilación de información - Las actividades de lecciones aprendidas deben producir un conjunto de datos objetivos y subjetivos sobre cada incidente. - Con el tiempo, los datos sobre incidentes recopilados deberían ser útiles para la mejora de capacidades tecnológicas y de procesos. - Los datos, especialmente las horas totales de participación y el coste, pueden utilizarse para justificar la financiación adicional del equipo de respuesta a incidentes. ## 5.3. Informe final y comunicación de ciberincidentes ### Seguimiento e informe final del incidente - Es importante documentar todos los incidentes y las medidas que se han tomado. - Mantener toda esta documentación. - Incidentes similares pueden volver a ocurrir. - Pueden que requieran los mismos procedimientos de gestión, o que un pequeño incidente resulte ser parte de un incidente mayor que se descubre más tarde. - Además, también es necesario informar del incidente a las partes interesadas. - Tanto internas como externas. - Utilizar los resultados de la revisión posterior al incidente para determinar con qué partes interesadas hay que ponerse en contacto. #### A nivel interno, la alta dirección de la organización debe considerarse siempre una parte interesada relevante y, por tanto, recibir un informe documentado sobre lo ocurrido y las medidas adoptadas. - La alta dirección y/o las personas de la organización encargadas de analizar los riesgos en la organización (por ejemplo, un comité de riesgo operativo o equivalente) deben ser informados de cualquier incidente de ciberseguridad. #### Debe redactarse un informe documentado para todos los incidentes de ciberseguridad y conservarse junto con otros informes de incidentes de ciberseguridad. - Puede basar este informe en las conclusiones de la revisión posterior al incidente de los incidentes. #### Una vez que se ha gestionado con éxito un incidente de ciberseguridad, a menudo será necesario informar formalmente tanto a las partes interesadas. - Las preguntas clave que hay que tener en cuenta son las siguientes: - ¿Cuáles son nuestros requisitos de información? -¿A quién debo informar? -¿De qué debo informar? -¿En qué formato informo? -¿Cuál es el objetivo de los informes? #### Una vez que se haya respondido a estas preguntas, el informe en sí debería incluir: - Una descripción completa de la naturaleza del incidente, su historia y las medidas adoptadas para recuperarlo. - Una estimación realista del coste financiero del incidente, así como otras repercusiones en la empresa, como en términos de daños a la reputación, pérdida de control de la gestión o deterioro del crecimiento - Recomendaciones sobre los controles mejorados o adicionales necesarios para prevenir, detectar, remediar o recuperarse de los incidentes de ciberseguridad de forma más eficaz. #### Plantilla informe posincidente - El informe de análisis posterior al incidente proporciona información muy valiosa a las partes interesadas con un resumen del incidente, el impacto en la organización, así como las lecciones aprendidas y las áreas de mejora. - En todos los incidentes graves es más que recomendable la elaboración de un informe de análisis posterior al incidente. - En aquellos que se consideren leves dependerá de la organización y sus procesos de mejora continua. **La siguiente tabla muestra un ejemplo de este tipo de informes.**