¿Qué es un incidente cibernético? ¿Cómo se aborda?
Con el término "incidente cibernético" o "incidente de seguridad" en español, se refiere a cualquier evento que impacte la Confidencialidad, es decir, la privacidad de una información, la Integridad, es decir, la veracidad de una información, y la Disponibilidad, es decir, la accesibilidad de una información. Por ejemplo, una falla (intencional o accidental) que dañe hardware o software impacta la Disponibilidad y, por lo tanto, es un incidente cibernético.
En tiempos recientes, estamos presenciando una verdadera escalada de incidentes cibernéticos: violar datos sensibles no siempre es una cuestión de dinero.
En este editorial profundizaremos en los aspectos del incidente cibernético:
Clasificaciones de incidentes cibernéticos
La clasificación de los incidentes de seguridad es la siguiente:
-
Acceso no autorizado: acceso no autorizado a ciertos sistemas;
-
Escalada de privilegios: ataque posible gracias a una falla del sistema, como un error de configuración;
-
Amenaza interna: amenaza interna como empleados o ex empleados con información sensible;
-
Phishing: estafa informática destinada a obtener datos sensibles de la víctima haciéndose pasar por una entidad acreditada;
-
Malware: ataque realizado con el uso de software malicioso instalado en los dispositivos de la víctima sin su conocimiento;
-
Denegación de servicio (DoS): “denegación de servicio”. Se refiere a cualquier ataque capaz de agotar deliberadamente los recursos de un sistema informático que proporciona un servicio a los clientes;
-
Hombre en el medio: ataque que consiste en insertarse ilegalmente en una conversación entre 2 partes, sustituyéndose a una de ellas;
-
Cracking de contraseñas: intento de obtener las contraseñas de un sistema. A menudo consisten en probar todas las combinaciones posibles de dígitos y caracteres.
Las figuras y actividades profesionales en el incidente cibernético
Hay dos figuras profesionales importantes en el campo de los incidentes cibernéticos:
Equipo de Respuesta
Un grupo de técnicos que evalúa, documenta y actúa, es decir, aborda un incidente cibernético para que un sistema no solo pueda recuperarse rápidamente de los daños sufridos, sino también evitar nuevos y adicionales.
Forense de incidentes cibernéticos
Actividad analítica de tipo forense realizada tras un incidente cibernético, con el fin de obtener pruebas documentales para reproducir en juicio.
Las fases del incidente cibernético
Las principales fases en las que se puede descomponer la respuesta a un incidente cibernético son:
Gestión de incidentes cibernéticos
Gestión del incidente cibernético. Se refiere al uso, incluso combinado, de dispositivos, sistemas de software y/o investigaciones realizadas por individuos. Comienza en el momento en que se detecta un incidente de seguridad.
Marco de informes
Sistema de informes utilizado tan pronto como se confirma que un sistema ha sido afectado por un incidente cibernético.
Plan de respuesta
Conjunto de instrucciones para ayudar al personal a detectar, responder, reparar y/o recuperar los daños causados por un incidente cibernético. En la terminología de los equipos azules también se llaman PlayBook.
Plan de comunicación
Sistema de comunicación destinado a notificar rápidamente a las partes involucradas en el incidente cibernético y coordinar a estas últimas para la reparación del daño.
Informe del incidente
Informe creado sobre la base de una plantilla y una lista de verificación para describir los aspectos del incidente de seguridad, los datos involucrados, los sistemas involucrados, la extensión temporal, el personal informado y los roles del equipo. Puede estructurarse según una lista de preguntas y respuestas que deben incluir al menos las Five Ws, es decir: Who (¿Quién?), What (¿Qué?), Where (¿Dónde?), When (¿Cuándo?), Why (¿Por qué?).
Metodología
Formación
Es indispensable formar al Equipo de Respuesta a Incidentes Cibernéticos que deberá intervenir en caso de un incidente cibernético. Es recomendable nombrar siempre a un responsable para mejorar la coordinación entre todos los miembros.
Detección e identificación
Es esencial detectar con precisión la violación y asegurarse también de que no pueda causar más daños.
Contención y reparación del daño
Estas acciones pueden consistir en bloquear direcciones IP individuales o rangos de IP, aislar un sistema determinado, bloquear usuarios, impedir la ejecución de archivos según su nombre, MD5, contenido, en la instalación de parches de seguridad para resolver otros problemas de vulnerabilidad de la red.
Evaluar la gravedad del daño
Una vez ocurrido el incidente cibernético, ¿cuáles son los daños reales causados al sistema? ¿Cuáles fueron los datos y sistemas involucrados?
Inicio del proceso de notificación
La violación de datos sensibles debe notificarse también a las autoridades públicas competentes, de acuerdo con las disposiciones vigentes en materia de protección de la privacidad (GDPR).
Prevención
La mejor manera de no sufrir un incidente cibernético es prever los riesgos, resolver los problemas que pueden causarlo y/o favorecerlo y realizar periódicamente simulaciones de ataque.
Referencias:
El Equipo de Respuesta a Incidentes Cibernéticos
https://www.ncsc.gov.uk/collection/incident-management/creating-incident-response-team
