La respuesta a incidentes gestiona una brecha de seguridad desde su detección hasta su recuperación. El proceso sigue un marco de trabajo: preparación, identificación, contención, erradicación, recuperación y lecciones aprendidas. Cada fase presenta sus propios desafíos. La preparación consiste en conformar el equipo, desarrollar las herramientas y elaborar los manuales de procedimientos. La identificación confirma que el incidente es real y no una falsa alarma. La contención detiene la propagación. La erradicación elimina el acceso del atacante. La recuperación restablece las operaciones normales. Las lecciones aprendidas previenen futuros incidentes.

La velocidad es crucial en cada paso. Cuanto más tiempo permanezca un atacante dentro del sistema, mayor será el daño. El tiempo promedio de permanencia, es decir, el lapso entre la intrusión y la detección, se ha reducido con los años, pero aún se mide en semanas para muchas organizaciones. Los grupos de ransomware actúan con mayor rapidez. Extraen datos y cifran sistemas en cuestión de días. Un plan de respuesta que tarda una semana en activarse resulta inútil frente a ese plazo. Los mejores equipos de respuesta a incidentes practican. Realizan simulacros, simulan brechas de seguridad y ensayan la comunicación. Saben quién contacta con el departamento legal, quién habla con la prensa y quién negocia con el atacante. Cuando ocurre un incidente real, no se enfrentan a una situación sin experiencia previa. Están ejecutando un plan que ya han utilizado con anterioridad.

Fases de respuesta ante incidentes

• Preparación: equipo, herramientas y planes de acción.
• Identificación: confirmar y delimitar el incidente.
• Contención: detener la propagación
• Erradicación: eliminar el acceso del atacante
• Recuperación: restablecer las operaciones
• Lecciones aprendidas: mejoremos para la próxima vez.

La respuesta ante incidentes es un trabajo en equipo. El trabajo técnico es solo una parte. La comunicación y la coordinación determinan el resultado.