¿Qué es un Incidente Cibernético? ¿Cómo lo enfrentas?
Con el término "Cyber incident" o "incidente de seguridad" en español, nos referimos a cualquier evento con un impacto en la confidencialidad, seguridad , integridad, veracidad, disponibilidad, o accesibilidad de la información. Por ejemplo, una falla (intencional o accidental) por daño de hardware o software tiene un impacto en la disponibilidad y, por lo tanto, es considerado un Incidente Cibernético.
En los últimos años estamos viviendo una verdadera escalada de Ciberincidentes, y nos hemos dado cuenta que violar datos sensibles no siempre es una cuestión de dinero.
En este artículo exploraremos los aspectos del Incidente Cibernético:
Tipos de incidentes cibernéticos
La clasificación de los incidentes de seguridad es la siguiente:
-
Acceso no concedido: acceso no autorizado a ciertos sistemas;
-
Escalada de privilegios: ataque que es posible por una falla del sistema, como un error de configuración;
-
Amenaza interna: Empleados o ex empleados con información confidencial;
-
Phishing: estafa informática destinada a robar datos confidenciales de la víctima haciéndose pasar por un organismo acreditado;
-
Malware: ataque realizado con el uso de software malicioso instalado en los dispositivos de la víctima sin su conocimiento;
-
Denial-of-service (DoS): “denegación de servicio”. Es cualquier ataque capaz de agotar deliberadamente los recursos de un sistema informático que presta un servicio a los clientes;
-
Man-in-the-middle: ataque que consiste en entrar ilegalmente en una conversación entre 2 partes, reemplazando a una de ellas;
-
Password cracking: "descifrado de contraseñas". Es intentar obtener las contraseñas de un sistema. A menudo consisten en probar todas las combinaciones posibles de dígitos y caracteres.
Tipos de profesionales ante incidentes cibernéticos
Hay dos profesionales importantes en el campo de los Incidentes Cibernéticos:
Equipo de respuesta
Un grupo de técnicos que evalúa, documenta y actúa, es decir, se enfrenta a un Ciber incidente para que un sistema no solo recupere rápidamente los daños sufridos, sino que evite nuevos y posteriores.
Análisis forense de incidentes cibernéticos
Actividad de análisis forense realizada a raíz de un Incidente Cibernético, con el fin de obtener pruebas documentales para ser reproducidas en juicio.
Las fases del incidente cibernético
Las principales fases en las que se puede desglosar la respuesta ante un Incidente Cibernético son:
Gestión de incidentes cibernéticos
En la gestión de Incidentes Cibernéticos, se hace uso de varios dispositivos y sistemas de software (incluso combinados), y también de las investigaciones realizadas por particulares. Comienza cuando se detecta un incidente de seguridad.
Marco de informes
Sistema de reporte utilizado tan pronto como se confirme que un sistema ha sido afectado por un Incidente Cibernético.
Plan de Respuesta
Conjunto de instrucciones para ayudar al personal a detectar, responder, reparar y recuperar los daños causados por un Incidente Cibernético. En la terminología del Equipo Azul, también se denomina como el PlayBook.
Plan de comunicación
Sistema de comunicación destinado a alertar rápidamente a las partes involucradas en el Incidente Cibernético y coordinar a estas últimas para la reparación del daño.
Informe de incidentes
Informe estructurado teniendo como base una plantilla y una lista de verificación, allí se describen los aspectos del incidente de seguridad, como los datos y sistemas involucrados, el tiempo de duración, el personal informado y los roles del equipo. Se puede estructurar de acuerdo con una lista de preguntas y respuestas que debe incluir al menos las Cinco Ws, ovvero: Who (¿Quién?), What (¿Qué?), Where (¿Dónde?), When (¿Cuándo?), Why (¿Por qué?).
Metodología
Formación
È Es fundamental formar al Equipo de Respuesta a Incidentes Cibernéticos que deberá intervenir en caso de un Incidente Cibernético. È Es recomendable designar un responsable que pueda coordinar a todos los miembros.
Detección e identificación
È Es esencial detectar con precisión la infracción y también asegurarse de que no pueda causar más daños.
Contención y reparación de daños
Estas acciones pueden ser: el bloqueo de direcciones IP únicas, el aislamiento de un sistema en particular, el bloqueo de usuarios, la prevención de la ejecución de archivos con su nombre MD5, o la instalación de parches de seguridad para corregir otras vulnerabilidades de la red.
Evaluar la gravedad del daño
Una vez ocurrido el Incidente Cibernético, ¿Cuál es el daño real causado al sistema? ¿Qué datos y sistemas estaban involucrados?
Inicio del proceso de notificación
La violación de datos sensibles también debe ser notificada a los organismos públicos encargados, de conformidad con las disposiciones vigentes en materia de protección de la privacidad (GDPR).
Prevención
La mejor manera de no sufrir un Incidente Cibernético es identificar los riesgos, solucionar los problemas que pueden provocarlo o favorecerlo y realizar periódicamente simulacros de ataque.
Riferimenti:
Il Cyber Incident Response Team
https://www.ncsc.gov.uk/collection/incident-management/creating-incident-response-team
