Plantilla gratuita para un plan de respuesta a incidentes de ciberseguridad

Evaluar el alcance de un incidente

Al considerar si una situación es un incidente o un desastre, una buena regla es evaluar la gravedad del evento y la probabilidad de que termine rápidamente. Un incidente es un evento que puede ser, o puede llevar a, una interrupción, transtorno, pérdida o crisis de negocios.

Por ejemplo, un incidente podría ser algo tan simple como una tubería con fugas, pero si la tubería explota, la situación puede convertirse rápidamente en un desastre. La introducción de un virus en una red se trataría inicialmente como un incidente de ciberseguridad, ya que se supone que puede abordarse rápidamente con varias herramientas de software y técnicas de seguridad. Sin embargo, si el virus demuestra ser un ataque importante de denegación de servicio, el incidente puede convertirse rápidamente en un desastre si se interrumpe el negocio.

En esta guía sobre planificación de respuesta a incidentes, aprenda cómo escribir un IRP, qué debe incluirse y luego descargue nuestra plantilla gratuita de muestra para el plan de respuesta a incidentes.

¿Qué es un plan de respuesta a incidentes?

Los planes de respuesta a incidentes a veces se denominan planes de manejo de incidentes o planes de manejo de emergencias. Cualquiera de los dos términos es aceptable, siempre y cuando la composición del plan sea consistente con las buenas prácticas de respuesta a incidentes. Los planes de respuesta a incidentes de seguridad son requeridos por varios organismos reguladores y de certificación, como el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago.

Un IRP establece la organización recomendada, las acciones y los procedimientos necesarios para hacer lo siguiente:

• reconocer y responder ante un incidente;
• evaluar la situación de forma rápida y eficaz;
• notificar a las personas y organizaciones apropiadas sobre el incidente;
• organizar la respuesta de una empresa, incluida la activación de un centro de comando;
• escalar los esfuerzos de respuesta de la compañía en función de la gravedad del incidente; y
• respaldar los esfuerzos de recuperación del negocio que se están realizando después del incidente.

Beneficios de tener un plan de respuesta a incidentes

Los beneficios de un plan de respuesta a incidentes bien elaborado son numerosos. Éstos son solo algunos:

• Respuesta a incidentes más rápida. Un IRP garantiza que una organización aumenta su evaluación de riesgos y detecta signos tempranos de que un incidente o ataque está a punto de ocurrir o está ocurriendo. También ayuda a las organizaciones a seguir el protocolo adecuado para contener y recuperarse de una amenaza.
• Mitigación temprana de amenazas. En la práctica, un equipo de respuesta a incidentes bien organizado con un plan de respuesta detallado puede mitigar el impacto potencial de situaciones no planificadas. Un plan de respuesta a incidentes puede acelerar el análisis forense, minimizando la duración de un incidente de seguridad y acortando el tiempo de recuperación. El efecto general puede ser contener daños operativos y financieros.
• Prevención de la DR. El manejo rápido de incidentes, junto con acciones bien ensayadas, a menudo puede evitar que una organización invoque planes de recuperación de desastres (DR) y de continuidad de negocios (BC) más complejos y costosos. Además de ayudar a la compañía a volver rápidamente a la normalidad, un IRP puede minimizar la publicidad negativa. Los planes de respuesta a incidentes a menudo se activan cuando un administrador de incidentes local, u otro empleado debidamente capacitado, determina que se ha producido un incidente o condición fuera de lo normal. Estas acciones suelen preceder a actividades más detalladas, como el uso de planes de recuperación de desastres y continuidad de negocios. Si nos fijamos en una línea de tiempo para un desastre, vemos que la gestión de incidentes suele ser la primera respuesta y el enlace a las acciones de recuperación de negocios posteriores.
• Buena continuidad de negocio. Esta práctica, apoyada por organizaciones como Business Continuity Institute y DRI International, incluye la planificación de la respuesta a incidentes como una parte clave del proceso general de gestión de BC.
• Mejor comunicación para una acción más rápida. Habrá situaciones en las que la gravedad de un incidente está más allá de las capacidades de un equipo de respuesta a incidentes. En estos escenarios, el equipo de respuesta a incidentes transmite la información que conocen a los equipos de administración de emergencias y las organizaciones de primera respuesta para tratar de resolver el incidente. Si la situación causa daño físico a un edificio o daño severo a sistemas comerciales críticos, entonces el personal debe reubicarse en una ubicación alternativa y los planes de BC/DR deben activarse.

Consideraciones clave para la planificación de respuesta a incidentes

Aquí hay algunos puntos clave a tener en cuenta al crear un IRP:

• Obtener el apoyo de la alta dirección. Sin el apoyo de la alta gerencia, no podrá formular un buen plan de manejo de incidentes y asegurar un equipo bien capacitado para responder a los incidentes.
• Mantener el plan simple. Un IRP bien organizado, paso a paso, con información relevante al alcance de su mano, lo ayudará a superar la mayoría de las situaciones.
• Comunicarse regularmente sobre el estado del incidente. Proporcione los datos relevantes a medida que estén disponibles (incluidas las actualizaciones de las políticas de uso aceptable), difúndalos rápidamente, haga un seguimiento periódico, mantenga informadas a las partes relevantes y resuelva la información incorrecta.
• Revisión y prueba. Una vez que se completa un plan de respuesta a incidentes, debe revisarse y analizarse para garantizar que los procedimientos documentados tengan sentido y que el equipo esté equipado para responder de acuerdo con el plan.
• Ser flexible. Un IRP debe tener flexibilidad incorporada para adaptarse a una variedad de situaciones; esto incluye quién está en el equipo y el acceso a los recursos para mitigar el incidente.

Componentes de un plan de respuesta a incidentes

Un plan de respuesta a incidentes debe identificar y describir las funciones y responsabilidades de los miembros del equipo de respuesta a incidentes que deben mantener el plan actualizado, probarlo con regularidad y ponerlo en práctica. El plan también debe especificar las herramientas, tecnologías y recursos físicos que deben existir para recuperar los sistemas dañados y los datos comprometidos, dañados o perdidos.

Según el Instituto SANS, el plan de respuesta a incidentes tiene seis partes.

1. Preparación. Capacite a los usuarios y al personal de TI para manejar posibles incidentes en caso de que surjan.
2. Identificación. Determine si un evento es realmente un incidente de seguridad.
3. Contención. Limite el daño del incidente y aísle los sistemas afectados para evitar daños adicionales.
4. Erradicación. Encuentre la causa del incidente y elimine los sistemas afectados del entorno de producción.
5. Recuperación. Permita que los sistemas afectados regresen al entorno de producción y garantice que no quede ninguna amenaza.
6. Lecciones aprendidas. Documente el incidente y analice cómo sucedió para que el personal pueda aprender de eso y mejore los esfuerzos de respuesta futuros.

Importancia de la SOAR en la respuesta a incidentes

Varios expertos en seguridad creen que las herramientas de orquestación, automatización y respuesta (SOAR) de seguridad pueden ayudar a prevenir las amenazas a las redes e impulsar las capacidades de respuesta a incidentes. SOAR es un conjunto de programas de software que monitorea la recolección de datos de amenazas de seguridad y ayuda a informar la toma de decisiones.

Gartner, que acuñó el término, dijo que el objetivo de SOAR es mejorar las operaciones de seguridad al permitir a las «organizaciones recopilar datos y alertas de amenazas de seguridad de diferentes fuentes, donde el análisis de incidentes y la clasificación se pueden realizar utilizando una combinación de poder humano y de máquina para ayudar a definir, priorizar e impulsar la respuesta a incidentes y el flujo de trabajo estandarizados». Según Gartner, la gestión de amenazas y vulnerabilidades, la respuesta a incidentes de seguridad y la automatización de las operaciones de seguridad son las tres capacidades más importantes de las tecnologías SOAR.

Partes interesadas en los planes de respuesta a incidentes

Por lo general, un IRP requiere la formación de un Equipo de Respuesta a Incidentes de Seguridad Informática (CSIRT), que es responsable de mantener el plan de respuesta a incidentes. Los miembros de CSIRT deben conocer el plan y asegurarse de que la administración lo haya evaluado y aprobado con regularidad.

El equipo de respuesta debe incluir personal técnico con experiencia en plataformas y aplicaciones. Debería haber expertos en infraestructura y redes, así como administradores de sistemas y personas con una amplia gama de experiencia en seguridad.

En lo que respecta a la administración, el equipo debe incluir un coordinador de incidentes que sea experto en lograr que los miembros del equipo con diferentes perspectivas, agendas y objetivos trabajen para alcanzar objetivos comunes. También debe haber un miembro del equipo encargado de manejar la comunicación hacia y desde la administración. Este rol requiere una persona experta en traducir los problemas técnicos al lenguaje de negocios y viceversa.

Varios propietarios de datos y gerentes de procesos de negocios en toda la organización deben ser parte del CSIRT o estar trabajando estrechamente con él y aportar información al plan de respuesta a incidentes. Los representantes de partes del negocio orientadas al cliente, como ventas y servicio al cliente, también deben formar parte del CSIRT. Y, en función de las obligaciones reglamentarias y de cumplimiento de la empresa, también deben incluirse las relaciones legales y públicas.

Cómo desarrollar un plan de respuesta a incidentes

El desarrollo e implementación de un plan de respuesta a incidentes de ciberseguridad implica varios pasos. El orden en el que una organización completa estos pasos depende de una serie de variables, incluidas sus vulnerabilidades específicas de ciberseguridad y las necesidades de cumplimiento normativo. Sin embargo, un plan sólido de respuesta a incidentes depende de ciertos elementos esenciales.

Para ese momento, se deben incluir las siguientes secciones clave, según Peter Wenham, miembro del comité del panel estratégico del Foro de Seguridad de BCS y director de la consultoría de seguridad de la información Trusted Cyber ​​Solutions:

• política, definición y alcance;
• una representación esquemática del proceso con información clave;
• informe de incidentes;
• primera respuesta y composición del equipo de incidentes: nombres, detalles de contacto, roles y responsabilidades dentro del equipo;
• evaluación de incidentes, incluso si se requiere la recopilación de pruebas forenses;
• contramedidas de incidentes: aislamiento del servidor/estación de trabajo/red, invocación de un plan de recuperación de desastres o plan de continuidad del negocio, recopilación de pruebas, gestión de informes de medios y relaciones públicas, involucrando a partes externas, según sea necesario, incluidos agentes de la ley e investigadores forenses;
• identificación de acciones correctivas: una revisión detallada de incidentes, un proyecto y un plan presupuestario para implementar acciones correctivas pueden incluir políticas y procedimientos de la empresa, capacitación, hardware, software, etc.; y
• monitorear las acciones correctivas hasta el punto donde el equipo del incidente cree que el incidente se puede cerrar. Luego se debe preparar un informe para su archivo y un informe resumido para distribuirlo a los gerentes senior y a la junta directiva.

Plantilla de plan de respuesta a incidentes

Esta plantilla de plan de respuesta a incidentes es un punto de partida útil para desarrollar su propio plan de respuesta a incidentes. Asegúrese de revisarlo con varias organizaciones internas, como gestión de instalaciones, legal, gestión de riesgos y unidades operativas clave.

Además, si es posible, haga que las organizaciones locales de primera respuesta revisen el plan de respuesta a incidentes. Sus sugerencias deberían ser valiosas y pueden aumentar el éxito de su plan de respuesta a incidentes.

Cómo probar un plan de respuesta a incidentes

Es crítico probar los procesos descritos en una plantilla de plan de respuesta a incidentes. Las empresas no deben esperar hasta un incidente real para averiguar si su IRP funciona. Los planes de respuesta a incidentes deben reevaluarse y validarse anualmente, como mínimo. También deben revisarse cada vez que se realicen cambios en la infraestructura de TI de la empresa o en su estructura comercial, regulatoria o de cumplimiento.

Las empresas que regularmente enfrentan ataques pueden sentir que tienen menos necesidad de probar sus planes de respuesta a incidentes. Sin embargo, defenderse contra uno o dos tipos de ataques de forma regular no garantiza que una organización esté preparada para ese tercer o cuarto tipo de ataque.

Todas las organizaciones deben ejecutar simulaciones para garantizar que el personal se mantenga actualizado y en la práctica sobre los procesos y protocolos de respuesta. Las pruebas deben incluir una variedad de escenarios de amenazas, desde ransomware y ataques distribuidos de denegación de servicio hasta el robo de datos y el sabotaje del sistema.

Un enfoque de uso frecuente de las pruebas son los ejercicios de mesa, basados ​​en la discusión, en los que un grupo explica los procedimientos que aplicarían y los problemas que podrían surgir con un evento de ciberseguridad específico. Un enfoque más profundo involucra ejercicios operacionales prácticos que ponen a prueba los procesos y procedimientos funcionales en el IRP. Una combinación de estos dos enfoques es la mejor.

Al pasar por un incidente, ya sea real o una prueba, el equipo de respuesta debe tomarse el tiempo para comparar cómo se desarrolla realmente la respuesta con lo que se describe en el plan de respuesta al incidente para garantizar que refleje la realidad de la reacción de una organización ante un incidente. Los miembros del equipo deben realizar un seguimiento de todas las discrepancias y problemas, sin importar cuán pequeños sean, y ajustar el plan para reflejar lo que realmente sucede u ocurrirá durante una respuesta.