Ante el aumento de la amenaza de ciberataques, muchas empresas se centran en implementar Planes de Respuesta a Incidentes de Ciberseguridad (Planes IR) para prevenir y mitigar las ciberamenazas. El objetivo de los Planes IR es garantizar que las empresas cuenten con un mapa organizacional para evaluar los eventos de seguridad de forma eficaz y eficiente.
¿Cuáles son las características clave de un plan de respuesta a incidentes de ciberseguridad?
Quizás la característica más importante de un Plan de RI sea el establecimiento de roles y responsabilidades para toda la empresa. Esto proporciona un marco organizativo que facilita la difusión de información y las respuestas, además de aumentar la eficiencia. Cuando se produce una filtración de datos, lo último que una empresa quiere es preocuparse por determinar quién debe hacer qué. Un esquema detallado de roles y responsabilidades garantiza que las personas adecuadas entren en acción cuando se espera. Si bien los roles que una empresa implementa están determinados por diversos factores internos y externos, algunos roles clave que deben considerarse incluyen: un equipo directivo sénior que participe en decisiones críticas, un gestor de incidentes responsable de supervisar el problema y empresas externas que puedan colaborar en el proceso de recuperación.
¿Qué es el ciclo OODA?
El Ciclo OODA es un análisis de toma de decisiones que, aunque originalmente concebido para uso militar, ha sido adoptado por muchas empresas para capacitar a sus empleados en la identificación y la solución de problemas críticos. En el ámbito de la ciberseguridad, los cuatro componentes del Ciclo OODA (observar, orientar, decidir y atacar) presentan un esquema organizativo que busca dedicar toda la atención a la tarea en cuestión de forma profesional y razonable.
La primera etapa del ciclo OODA, la observación, se centra en la recopilación de datos y el reconocimiento para evaluar posibles amenazas. Una vez detectada una amenaza, esta etapa ayuda a determinar si se trata de un incidente de seguridad o de un falso positivo. Durante la etapa de observación, se deben considerar: quién reportó el posible incidente; qué sistemas u operaciones se vieron afectados; y cómo se detectó inicialmente el incidente.
En la etapa de orientación, se analiza la información recopilada, transformando los datos brutos en información vital. Esto permite formular hipótesis sobre el origen, los propósitos y los efectos del incidente de seguridad, y brinda la oportunidad de realizar operaciones para probar dichas hipótesis. Es importante que toda la información analizada y probada durante esta etapa se registre y almacene adecuadamente por si se necesita en el futuro.
Durante la etapa de decisión, los altos cargos de una organización sintetizan toda la información obtenida durante las etapas de observación y orientación para formular una respuesta adecuada. El componente más crítico de esta etapa es determinar cuál de las múltiples opciones disponibles es la más adecuada para la situación actual. Por lo tanto, es necesario comprender completamente el problema actual y analizar cuidadosamente todas las opciones disponibles. Esta etapa requiere paciencia y un análisis detallado, ya que elegir un enfoque incorrecto puede agravar el accidente.
La etapa final del ciclo OODA es cuando la respuesta seleccionada en la etapa de decisión se pone en práctica para contener y erradicar la amenaza. Algunas de las acciones posibles incluyen restablecer credenciales, eliminar archivos maliciosos y monitorear redes. Cabe destacar que, si bien la etapa de acción es técnicamente la parte final del ciclo OODA, nunca termina realmente. En cambio, la información y el conocimiento adquiridos en esta etapa se analizan y aplican en las siguientes etapas cuando surge otra amenaza.
