Para gestionar los incidentes, tu organización debe establecer procedimientos claros para gestionarlos, y para apoyar la gestión de incidentes tu organización también debe implantar el registro y la supervisión de irregularidades en los sistemas de red e información, de modo que los incidentes puedan detectarse en primer lugar. Los datos de registro también deben estar protegidos contra la manipulación y salvaguardados del acceso no autorizado para garantizar la integridad de dichos datos.

Gestión de incidentes

Tu organización debe asegurarse de que puede gestionar los incidentes para que pueda reaccionar de forma adecuada cuando se produzcan. El objetivo de esta medida de seguridad es reducir los daños a los sistemas de red e información y a los servicios críticos, para que el impacto del incidente sea el menor posible. Después de que se produzca un incidente, tu organización debe ser capaz de restablecer su funcionamiento normal.

Requisitos

Una gestión adecuada de los incidentes requiere que tu organización prepare y aplique procedimientos de contingencia que permitan identificar, detectar, analizar y responder a los incidentes. Estos procedimientos también deben apoyar la recuperación de operaciones seguras y estables, así como garantizar que tu organización pueda cumplir sus obligaciones de información al Equipo nacional de respuesta a incidentes de seguridad informática (CSIRT ) en caso de incidentes graves.

Tu organización debe disponer de las competencias necesarias, ya sea internamente o mediante acuerdos con terceros, para garantizar que los incidentes puedan gestionarse adecuadamente.

Para apoyar esta capacidad, tu organización también debería

• Definir funciones, responsabilidades y procedimientos para prevenir, detectar, analizar, contener, responder, recuperarse, documentar y notificar incidentes graves lo antes posible. Esto también puede incluir planes de comunicación interna y externa y sistemas de comunicación de emergencia.
• disponer de un procedimiento que permita a los empleados, proveedores y clientes informar internamente de incidentes sospechosos de forma sencilla y accesible, de modo que no haya barreras para utilizarlo.
• responder a los incidentes a tiempo y de acuerdo con los procedimientos de gestión de incidentes de la organización.
• llevar a cabo una revisión tras un incidente grave para identificar la causa raíz y extraer lecciones que puedan reducir el riesgo y el impacto de incidentes similares en el futuro.

Tu organización también debe probar sus procedimientos de respuesta a incidentes a intervalos planificados para asegurarse de que funcionan según lo previsto.

Documentación

El cumplimiento de los requisitos de gestión de incidentes puede documentarse mediante un procedimiento, y éste debe actualizarse a intervalos planificados y siempre que se produzcan cambios significativos en los objetivos empresariales de la organización o en su panorama de amenazas. Los procedimientos deben estar documentados y aprobados por la dirección correspondiente.

Registro y supervisión

El objetivo del registro y la supervisión es garantizar que tu organización pueda detectar incidentes que puedan poner en peligro los datos y responder adecuadamente, de modo que se reduzcan al máximo los efectos negativos del incidente. Los registros también se utilizan para investigar posteriormente los incidentes.

Requisitos

Tu organización debe tener procesos y utilizar herramientas para supervisar, registrar y responder a las actividades en tus redes y sistemas de información. Sin esto no podrías detectar y responder a posibles incidentes.

Lo ideal es que la supervisión esté automatizada y, en función de las capacidades de tu organización, se realice en tiempo real o a intervalos regulares.

Tu organización debe mantener, documentar y revisar los archivos de registro, pero tu enfoque específico puede depender del nivel tecnológico de tu organización y de un enfoque basado en el riesgo. Tus registros podrían incluir lo siguiente

• tráfico de red entrante y saliente,
• creación, modificación o eliminación de usuarios y cambios en los permisos,
• acceso a sistemas y aplicaciones,
• acceso privilegiado a sistemas y aplicaciones,
• actividades realizadas por cuentas privilegiadas,
• acceso y cambios en archivos críticos de configuración y copia de seguridad,
• Registros de eventos y registros de herramientas de seguridad como antivirus, sistemas de detección de intrusos o cortafuegos,
• uso y rendimiento de los recursos del sistema,
• acceso y uso de los equipos y componentes de red de la organización,
• el acceso físico a las instalaciones de la organización, como los sistemas de control de acceso,
• acontecimientos medioambientales que puedan afectar negativamente a las redes y sistemas de información de la organización, como alarmas de inundación.

Los archivos de registro pueden revisarse manual o automáticamente para detectar patrones inusuales o no deseados. Por ello, la organización debe definir umbrales para saber cuándo se debe actuar y, si se superan estos umbrales, el sistema puede activar automáticamente una alerta. El personal responsable de la misma debe asegurarse de que se lleva a cabo una respuesta adecuada.

Tu organización debe almacenar y hacer copias de seguridad de los archivos de registro durante un periodo predefinido en función de tu perfil de riesgo, y estos datos de registro deben estar protegidos contra manipulaciones y accesos no autorizados.

Tus medidas deben ser capaces de detectar ataques basados en la red, como patrones de tráfico anómalos o ataques distribuidos de denegación de servicio.

Tus sistemas deben estar sincronizados para utilizar las mismas fuentes de tiempo, de modo que los registros de distintos sistemas puedan compararse al investigar incidentes.

Por último, debes mantener una lista de todos los activos que se registran. Los sistemas utilizados para la supervisión y el registro pueden duplicarse para garantizar la seguridad y la continuidad de los servicios prestados. También debe supervisarse la ciberseguridad de los sistemas de supervisión y registro, y debe hacerse independientemente de los sistemas que supervisan.

Documentación

Debes revisar los procedimientos de registro y supervisión a intervalos planificados y cuando se produzcan cambios. Lo mismo ocurre con la lista de activos o eventos que se registran. Todos los procedimientos deben revisarse a intervalos planificados y siempre que se produzcan cambios, y debe conservarse la documentación que demuestre que estas revisiones tienen lugar en los momentos programados.