UNA RESPUESTA A INCIDENTES DEBE INCLUIR
-Gestión y coordinación de incidentes de alto nivel
-Análisis técnico del incidente
-Alcance del incidente para determinar quien o que se vio afectado
-Comunicaciones de crisis para garantizar que la información se divulgue de manera coordinada y beneficiosa
-Respuesta legal para determinar cualquier implicación y preparar cualquier respuesta o acción necesaria
-Recomendaciones y acciones de remediacion y mitigacion para asegurar una recuperación sin problemas
PREPARACIÓN PARA TODA LA EMPRESA
El equipo de respuesta a incidentes de una empresa debe incluir personas en puestos mas allá de la seguridad IT. Las partes interesadas de comunicaciones legales,corporativas,recursos humanos y mas también deben participar en la preparación y ejecución de cualquier actividad a incidentes.
La preparación es clave para permitir una acción rápida cuando los minutos importan.No es ideal esperar hasta que una situación se convierta en un incidente escalado en toda regla para comenzar a perseguir y educar a las partes interesadas.Los jugadores principales deben conocer sus responsabilidades con suficiente anticipación para que solo necesiten la señal para entrar en acción. Para ayudar a garantizar que los miembros del equipo estén capacitados,y capacitados para tomar acciones correctas, en el momento adecuado,los equipos deben realizar ejercicios de mesa no técnicos y simulaciones de incumplimiento completas para ejecutar los procesos técnicos y no técnicos.
CONOCE A TUS PERSONAS CLAVE
A preparase para la respuesta a un incidente, es crucial contar con las personas adecuadas en el equipo.Cada negocio tiene sus propias necesidades únicas,pero se recomienda que las organizaciones identifiquen individuos o equipos específicos para las siguientes funciones principales.
-Gestión de incidentes: esta función central requiere un amplio conocimiento técnico y experiencia previa en la gestión y respuesta de incidentes.La persona en este rol actúa como gerente general del proyecto para supervisar la finalizacion de la tarea técnica,así como la recopilación de información para todos los interesados involucrados.
-Investigación de incidentes empresariales: aquí es donde los desafíos de trabajar en una empresa pueden variar de contrapartes mas pequeñas.Una gran brecha en una gran organización requiere el aprovechamiento de tecnologías para ayudar en el análisis forense entre los host para que el equipo pueda encontrar indicadores de compromiso,así como el alcance potencial lo mas rápido posible.
-Análisis técnico: estos roles requieren conocimientos técnicos y es mejor tener analistas en el equipo que se especialicen en áreas especificas,como análisis de malware,análisis forense,análisis de registro de eventos y análisis de red.Cualquier información que estos analistas encuentren debe compartirse con el resto del equipo de respuesta incidentes.
-Alcance del incidente: ¿cual fu el alcance de la violación? Esa es una pregunta crucial que cualquier equipo de respuesta a incidentes necesitara saber.La respuesta a esta pregunta puede cambiar en el transcurso de la respuesta e investigación del incidente,especialmente a medida que continua el análisis técnico
-Comunicaciones de crisis: sera necesario que compartan los resultados de la investigación,así como el alcance y los resultados potenciales,tanto interna como externamente.Un equipo experimentado de comunicación de crisis debe comunicar los detalles correctos al publico correcto.Sus responsabilidades pueden incluir notificaciones de incumplimiento,notificaciones regulatorias,notificaciones de empleados y comunicados de prensa si es necesario.
Informes y remediacion: mientras se trabaja en la respuesta a incidentes,es importante documentar todo.Con esta información,los equipos deberían poder reconstruir una historia completa sobre la brecha:lo que hicieron los atacantes,cuando y como lo hicieron,y lo que lograron comprometer.Esto permitirá crear un plan de respuesta detallado para las recomendaciones de remediacion y mitigacion para recuperarse de la violación,y con suerte ayudara a la organización a defenderse contra cualquier ataque futuro que sea similar en su naturaleza.
Después de responder con éxito a un incidente,aun no es hora de descansar.El equipo de respuesta debe realizar una autopsia para aprender de la experiencia,tanto para ajustar su programa de respuesta a incidentes específicamente como para reajustar su programa de seguridad general.No hay mejor maestro que experiencia,por lo que sera importante obtener la mayor cantidad de lecciones posible para responder a un incidente real.
