Respuesta a incidentes

Gestión del plan de respuesta a incidentes

La respuesta a incidentes no es diferente de cualquier otro aspecto de la seguridad de la información. Requiere una planificación minuciosa, una supervisión continua y unas métricas claras para poder medir adecuadamente los esfuerzos. Las iniciativas de gestión continua incluyen el establecimiento y la supervisión de los objetivos de respuesta a incidentes, la comprobación periódica del IRP para garantizar su eficacia y la formación de todas las partes necesarias sobre los procedimientos de respuesta a incidentes aplicables. Las métricas específicas utilizadas para medir la eficacia de las iniciativas de respuesta a incidentes podrían incluir:

• Número de incidentes detectados.
• Número de incidentes pasados por alto.
• Número de incidentes que requieren una acción.
• Número de incidentes repetidos.
• El plazo de remediación.
• Número de incidentes que condujeron a brechas.

Además, los objetivos de respuesta a incidentes podrían incluir áreas que implican:

• Revisiones y actualizaciones del plan de respuesta a incidentes de rutina.
• La planificación y ejecución de escenarios de prueba de respuesta a incidentes.
• Cuestiones de integración con iniciativas de seguridad relacionadas, como la concienciación en materia de seguridad, los sistemas de detección técnica, la formación de los empleados y las pruebas de vulnerabilidad y penetración.
• La notificación de eventos de seguridad a la dirección ejecutiva o a partes externas.
• La adquisición de tecnologías adicionales que puedan proporcionar una mayor visibilidad y control de la red.

Planes de respuesta a incidentes frente a planes de continuidad del negocio

Con los objetivos de mantener las operaciones normales y minimizar el impacto de los eventos imprevistos, la respuesta a incidentes podría considerarse parte del proceso de continuidad del negocio. Teniendo en cuenta lo que está en juego y las diferentes variables que intervienen, como las personas, las tecnologías y los procesos de negocio, la respuesta a incidentes debe tener los más altos niveles de visibilidad dentro de la organización. Un IRP se dedica a los incidentes y las violaciones que afectan a las redes y los ordenadores, las aplicaciones y las bases de datos y los activos de información relacionados. Por lo tanto, a la mayoría de las organizaciones les conviene mantener el plan de respuesta a incidentes en un documento independiente, separado del plan de continuidad del negocio, aunque con referencias a él. Lo más importante es asegurar que el plan de respuesta a incidentes sea fácilmente accesible por todos los miembros del equipo cuando se necesite.

Herramientas para la respuesta a incidentes

Existen numerosas herramientas y metodologías que pueden utilizarse para ayudar a la respuesta a incidentes y que suelen clasificarse por prevención, detección o funcionalidades de respuesta. Algunas organizaciones siguen el bucle OODA derivado de los militares para la respuesta a incidentes. El bucle OODA es una metodología que anima a una empresa a observar, orientar, decidir y actuar cuando se produce un incidente, todo lo cual las herramientas de IR pueden ayudar.

Por ejemplo, una organización puede obtener la visibilidad necesaria en un incidente con el análisis de paquetes, la supervisión de los recursos del sistema y las tecnologías de examen de la integridad de los archivos. Se puede obtener una visión de las amenazas utilizando indicadores de amenazas en tiempo real y servicios de inteligencia de amenazas. Incluso más allá, hay herramientas que pueden proporcionar detalles forenses como la ubicación de la fuente, la información técnica del incidente y las repeticiones del evento. También hay herramientas que permiten a una organización actuar contra una amenaza deteniendo su propagación o minimizando el impacto que tiene en el entorno informático.

Aunque la respuesta a incidentes es un proceso, la tecnología puede utilizarse para automatizar y agilizar funciones específicas de respuesta a incidentes para ayudar a minimizar los tiempos de detección y los errores del sistema. Los proveedores de servicios centrados en el desarrollo de tecnología de respuesta a incidentes suelen ofrecer productos en las siguientes categorías:

• Concienciación y formación de los empleados;
• gestión de la seguridad de los puntos finales;
• cortafuegos, prevención de intrusiones y mitigación de DoS;
• análisis forense;
• análisis del flujo de red y del tráfico;
• gestión de incidentes y eventos de seguridad (SIEM); y
• gestión de la vulnerabilidad.

Las herramientas de respuesta a incidentes proporcionan a las organizaciones tanto visibilidad como control. También proporcionan a los profesionales la información necesaria que necesitan saber para manejar el comportamiento anómalo. Por último, las herramientas de respuesta a incidentes ayudan con los esfuerzos de respuesta directa — permitiendo a las organizaciones minimizar los riesgos involucrados.

La mayoría de los productos tecnológicos en el sector de la respuesta a incidentes son comerciales y requieren un presupuesto adecuado para los gastos de capital y operación. Como alternativa, existen numerosas ofertas de software de código abierto que podrían adaptarse para satisfacer los requisitos específicos de una organización. A la hora de elegir el enfoque de código abierto, es importante sopesar el esfuerzo que supondrá, la eficiencia con la que se podrá escalar y la eficacia que tendrá a largo plazo.

Una vez que se pongan en marcha las herramientas de respuesta a incidentes, es importante asegurarse de que hay suficiente personal y experiencia para mantenerlas y actualizarlas. Contar con los recursos necesarios es fundamental para el diseño inicial y la implementación de la tecnología, así como para la administración y la resolución de problemas en curso.

Por último, los ejecutivos deben recordar que las herramientas de respuesta a incidentes no pueden abarcar todo el programa de respuesta a incidentes. Aunque las herramientas y la automatización pueden desempeñar un papel importante, deben seguir siendo sólo un componente de los requisitos generales de respuesta a incidentes.