Preparación: planes de respuesta, playbooks y equipos

El ciclo de vida de respuesta a incidentes de NIST consta de cuatro fases: preparación; detección y análisis; contención, erradicación y recuperación; y actividad posterior al incidente. La preparación es la fase más importante: todo lo que hace una organización antes de un incidente determina la eficacia con la que responderá durante este. Las organizaciones que invierten en preparación descubren las brechas más rápido, las contienen con mayor rapidez y gastan mucho menos en la recuperación. La diferencia media de costes entre una preparación alta y baja para la respuesta a incidentes asciende a millones de dólares por incidente.

Un Plan de Respuesta a Incidentes (IRP) es el documento rector que define el enfoque de la organización para gestionar incidentes de seguridad. Un IRP integral incluye: la misión y el alcance, las funciones y la información de contacto del equipo, las definiciones de lo que constituye un incidente, los criterios de clasificación de gravedad, los procedimientos de escalamiento, las plantillas de comunicación, los requisitos legales y normativos de notificación, y referencias a playbooks técnicos. El IRP debe ser aprobado por la alta dirección y revisarse al menos una vez al año.

El CSIRT es el equipo responsable de ejecutar el IRP. Entre sus funciones principales se incluyen: Incident Commander (coordinación general y toma de decisiones), Security Analysts (investigación técnica y recopilación de evidencias), Communications Lead (comunicación con las partes interesadas, los clientes y los medios), Legal Counsel (cumplimiento normativo y enlace con las fuerzas del orden) y Executive Sponsor (autorización de acciones de remediación importantes). Unas funciones bien definidas evitan confusiones y garantizan que ninguna tarea crítica quede desatendida.

La clasificación de la gravedad determina la urgencia de la respuesta, la ruta de escalamiento y los requisitos de notificación. Un modelo típico de cuatro niveles es el siguiente: P1/Critical — brecha activa con exfiltración de datos o un impacto empresarial significativo; requiere una respuesta inmediata las 24 horas, los 7 días de la semana; P2/High — compromiso confirmado sin pérdida de datos confirmada; P3/Medium — actividad sospechosa en investigación; P4/Low — infracciones de políticas o anomalías menores. Los errores de clasificación —por ejemplo, tratar un P1 como P3— permiten que las brechas se amplíen mientras se retrasa la respuesta.

Mientras que el IRP proporciona orientación estratégica, los playbooks ofrecen procedimientos tácticos, detallados paso a paso, para responder a tipos específicos de incidentes. Un playbook de ransomware podría especificar: aislar los sistemas afectados (paso 1), capturar imágenes forenses antes de realizar cualquier limpieza (paso 2), comprobar si se conoce la variante y si existen descifradores (paso 3), notificar al equipo ejecutivo (paso 4) y contratar una empresa externa de respuesta a incidentes (paso 5). Los playbooks reducen la carga cognitiva durante incidentes de alta tensión, cuando de otro modo los responsables de la respuesta podrían omitir pasos críticos.

La preparación técnica incluye implementar y configurar las herramientas que los responsables de la respuesta necesitarán durante un incidente. Kit de herramientas esencial para la respuesta a incidentes: SIEM para la agregación y correlación de registros, EDR para la visibilidad y contención de endpoints, Forensic imaging tools (FTK, dd, Magnet AXIOM), Memory acquisition (Magnet RAM Capture, WinPmem), Network packet capture (Wireshark, Zeek) y canales de comunicación Out-of-band communication (en caso de que el correo electrónico principal se vea comprometido durante el incidente).

Muchas organizaciones mantienen acuerdos de retención con empresas especializadas en respuesta a incidentes (Mandiant, CrowdStrike, Palo Alto Unit 42). Un acuerdo de retención garantiza una respuesta prioritaria cuando ocurre un incidente, con tarifas negociadas previamente y SLA definidos (por ejemplo, un responsable de respuesta en las instalaciones en un plazo de 4 horas desde la notificación). Sin un acuerdo de retención, contratar una empresa de respuesta a incidentes durante una brecha importante puede tardar días y tener un coste muy elevado. Estas empresas también facilitan ejercicios tabletop, threat hunting y evaluaciones previas a una brecha.

Los ejercicios tabletop simulan escenarios de incidentes mediante debates en una sala de reuniones, sin tocar los sistemas de producción. Los participantes recorren un escenario en evolución —un ataque de ransomware, un correo fraudulento del CEO o el compromiso de unas credenciales— y debaten qué harían en cada punto de decisión. Los ejercicios tabletop ponen de manifiesto deficiencias en los playbooks, responsabilidades poco claras y supuestos no comprobados antes de que un incidente real los exponga. Deben realizarse trimestralmente para el CSIRT y anualmente para los ejecutivos.

La comunicación durante un incidente debe planificarse con antelación. Entre los aspectos clave se incluyen: los plazos de notificación normativa (el GDPR exige notificar las brechas en un plazo de 72 horas, HIPAA en un plazo de 60 días y las leyes estatales sobre brechas varían), las plantillas de notificación a clientes, los criterios de notificación a las fuerzas del orden (el FBI para ransomware y el Secret Service para fraudes financieros), los mensajes de relaciones públicas y la comunicación interna a los empleados. Es fundamental que la comunicación durante un incidente utilice canales out-of-band: el atacante podría estar supervisando el correo electrónico corporativo.

La preparación incluye establecer procedimientos de recopilación de evidencias que preserven su admisibilidad legal. Requisitos clave: documentar el orden de volatilidad, utilizar bloqueadores de escritura para crear imágenes de discos, registrar los hashes criptográficos de todas las evidencias (SHA-256) y documentar la cadena de custodia desde la recopilación hasta el almacenamiento. Las evidencias que no puedan autenticarse —porque no se siguieron los procedimientos— podrían no ser admisibles en procedimientos judiciales contra atacantes o empleados.

Las organizaciones sin una preparación madura para la respuesta a incidentes cometen habitualmente errores costosos durante las brechas: los responsables de la respuesta vuelven a crear las imágenes de los sistemas antes de capturar las evidencias forenses (lo que destruye la capacidad de entender lo sucedido), se comunican mediante canales comprometidos (alertando a los atacantes), escalan demasiado despacio porque la clasificación de gravedad no está clara, carecen de autoridad para tomar decisiones de contención (y necesitan horas de aprobaciones) y no pueden identificar los sistemas afectados porque el inventario de activos está incompleto. Todos estos fallos pueden prevenirse mediante la preparación.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que: el IRP es el documento rector que define las funciones, las clasificaciones de gravedad y los procedimientos de comunicación; los playbooks proporcionan orientación táctica paso a paso para tipos específicos de incidentes; y los ejercicios tabletop y los acuerdos de retención preparan a los equipos para responder eficazmente antes de que ocurra un incidente real. A continuación exploraremos la detección y el análisis: cómo identificar incidentes reales.