Playbooks de incidentes: guías antes del primer ataque
Qué playbooks de ciberseguridad debería tener una organización chilena antes de un incidente: credenciales, malware, denegación. Solicite apoyo.
Un playbook es una guía breve que indica qué hacer, en qué orden y quién decide ante un tipo de incidente. Se redacta con calma para usarse bajo presión, cuando improvisar sale caro.
- Un playbook convierte una reacción confusa en pasos ejecutables.
- Debe ser corto, con responsables y datos de contacto actualizados.
- Se prueba, se revisa y se corrige con el uso.
Qué debe contener un playbook
Cada guía incluye cómo se detecta el incidente, quién lo declara, qué se hace para contener y mitigar, cómo se comunica y cómo se vuelve a la normalidad. Una página por escenario suele bastar.
Cinco escenarios para comenzar
- Fuga o compromiso de credenciales. Cambiar accesos afectados, cerrar sesiones activas, revisar el uso reciente de la cuenta y confirmar que el segundo factor esté activo.
- Malware o equipo comprometido. Aislar el equipo de la red sin apagarlo de forma abrupta, preservar evidencia, evaluar el alcance y restaurar desde una fuente limpia.
- Ransomware. Aislar equipos, no borrar evidencia, activar el plan de recuperación y recurrir a las copias de respaldo; vea Respaldo 3-2-1.
- Alteración o denegación de servicio. Identificar el servicio afectado, activar protecciones del proveedor, comunicar la situación y registrar la secuencia de eventos.
- Correo fraudulento o suplantación. Reportar, bloquear, avisar a las personas expuestas y verificar si hubo acciones realizadas por error.
Roles y comunicación
Cada guía debería indicar quién lidera, quién ejecuta lo técnico y quién habla con la gerencia, los trabajadores, los clientes y los proveedores. Si hay datos personales involucrados, la evaluación de las obligaciones aplicables corresponde al asesor legal.
Qué hacer
- Elegir los dos escenarios más probables para su organización y redactar primero esos playbooks.
- Designar un responsable y un suplente por cada guía.
- Guardar una copia impresa o fuera de línea, por si los sistemas no están disponibles.
- Hacer un ejercicio de escritorio al año con el equipo.
- Actualizar tras cada incidente o ejercicio.
Preguntas frecuentes
¿Un playbook sirve si somos pocos? Sí; justamente porque hay pocas personas, conviene que cada una sepa qué le toca.
¿Es lo mismo que un plan de continuidad? No. El playbook responde a un tipo de incidente; el plan de continuidad define cómo sigue operando la organización. Se complementan.
¿Quién debería escribirlos? Quien conozca los sistemas, con la validación de la gerencia.
Para priorizar qué escenarios cubrir, véase Matriz de riesgos en una tarde.
En nuestro trabajo con organizaciones chilenas, vemos que las guías breves por tipo de incidente se usan más que los documentos extensos.
IT Lab acompaña a organizaciones chilenas en esto. Contáctenos.
¿Necesitas a alguien que se haga cargo de tu tecnología?
Cuéntanos qué necesitas ordenar, proteger o resolver. La primera conversación no tiene costo: evaluamos si nuestro modelo te sirve y cuáles serían los siguientes pasos.
Conversemos sobre tu empresa