19968_ISO IEC 27035 | Seguridad de información | Organización internacional para la estandarización\nGuardarGuardar 19968_ISO IEC 27035 para más tarde\n151 vistas130 páginas\nGestion de Incidentes de Seguridad\n02 - Gestion de Incidentes\nCalle de La Prosa 104, San Borja (Lima 41) Apartado 145\n(EQV. ISO/IEC 27035:2011 Information technology -- Security techniques -- Information security incident management)\nR.0045-2013/CNB-INDECOPI. Publicada el 2013-07-19\nPrecio basado en 123 páginas\nDescriptores: Tecnología, información, técnica, seguridad, gestión, incidente\n© ISO/IEC 2011 - © INDECOPI 2013\nTodos los derechos son reservados. A menos que se especifique lo contrario, ninguna parte de esta publicación podrá ser reproducida o utilizada por cualquier medio, electrónico o mecánico, incluyendo\nfotocopia o publicándolo en el Internet o intranet, sin permiso por escrito del INDECOPI, único representante de la ISO/IEC en territorio peruano.\n© INDECOPI 2013\nCalle de La Prosa 104, San Borja Lima- Perú Tel.: +51 1 224-7777 Fax.: +51 1 224-1715 sacreclamo@indecopi.gob.pe www.indecopi.gob.pe\n© ISO/IEC 2011 - © INDECOPI 2013 - Todos los derechos son reservados\n5. FASE DE PLANEAMIENTO Y PREPARACIÓN\n6. FASE DE DETECCIÓN Y REPORTE\n7. FASE DE EVALUACIÓN Y DECISIONES\n8. FASE DE RESPUESTAS\n9. FASES DE LECCIONES APRENDIDAS\nA.1 La presente Norma Técnica Peruana ha sido elaborada por el Comité Técnico de Normalización de Codificación e intercambio electrónico de datos, mediante el Sistema 1 o de Adopción, durante los meses de abril a mayo de2012, utilizando como antecedente a la norma ISO/IEC 27035:2011 Information technology -- Security techniques -- Information security incident management.\nA.2 El Comité Técnico de Normalización de Codificación e intercambio electrónico de datos presentó a la Comisión de Normalización y de Fiscalización de Barreras Comerciales no Arancelarias –CNB-, con fecha 2013-05-21, el PNTP-ISO/IEC 27035:2013, para su revisión y aprobación, siendo sometido a la etapa de discusión pública el 2013-05-24. No habiéndose presentado observaciones fue oficializada como Norma Técnica Peruana NTP-ISO/IEC 27035:2013 TECNOLOGÍA DE LA INFORMACIÓN. Técnicas de seguridad. Gestión de incidentes de seguridad de la información, 1 a Edición, el 19 de julio de 2013.\nA.3 La presente Norma Técnica Peruana presenta cambios editoriales referidos principalmente a terminología empleada propia del idioma español y ha sido estructurada de acuerdo a las Guías Peruanas GP 001:1995 y GP 002:1995.\nDISTRIBUIDORA MAYORISTA SYMBOL S.A.\nINTERNATIONAL ANALYTICAL SERVICE S.A.C.\nISO (la Organización Internacional para la Normalización) e IEC (la Comisión Electrotécnica Internacional) forman el sistema especializado para la normalización mundial. Los organismos nacionales que son miembros de ISO o de IEC participan en el desarrollo de normas internacionales a través de comités técnicos establecidos por la organización respectiva para ocuparse de campos particulares de actividad técnica. Los comités técnicos de ISO y de IEC colaboran en campos de interés mutuos. Otras organizaciones internacionales, gubernamentales y no gubernamentales, en relación con ISO e IEC también participan en el trabajo. En el campo de la tecnología de la información, ISO e IEC han establecido un comité técnico conjunto, ISO / IEC JTC 1. Las Normas Internacionales se redactan de acuerdo con las reglas proporcionadas por las Directivas ISO / IEC, Parte 2.\nLa tarea principal del comité técnico conjunto es preparar Normas Internacionales. La versión preliminar de las Normas Internacionales adoptadas por el comité técnico conjunto se circula a los organismos nacionales para votación. La publicación de una Norma Internacional requiere aprobación de al menos 75 % de los Organismos Nacionales que votan.\nSe debe notar la posibilidad de que algunos de los elementos de esta Norma Técnica Peruana puedan estar sujetos a derechos de patentes. ISO e IEC no serán responsabilizados de identificar cualquiera o todos esos derechos de patentes. ISO/IEC 27035 fue preparada por el comité técnico conjunto ISO/IEC JTC 1, Tecnología de la Información, Subcomité SC 27, Técnicas de Seguridad de TI.\nEsta primera edición de ISO/IEC 27035 cancela y reemplaza ISO/IEC TR 18044:2004, la cual ha sido revisada técnicamente.\nEn general, las políticas o controles de seguridad de la información por sí mismos no garantizarán una protección total de la información, de los sistemas, servicios o redes de información. Luego de haberse implementado los controles, probablemente persisten vulnerabilidades residuales que pueden hacer que la seguridad de la información sea ineficaz y, de esta manera, sean posibles los incidentes de seguridad de la información. Esto puede tener potencialmente impactos tanto directos como indirectos en las operaciones de negocios de una organización. Además, es inevitable que ocurran nuevas instancias de amenazas previamente no identificadas. La preparación insuficiente de una organización para ocuparse de dichos incidentes hará que cualquier respuesta sea menos eficaz e incrementará el grado de impacto potencial adverso en las actividades. Por lo tanto, es esencial que cualquier organización que sea seria respecto de seguridad de la información tenga un enfoque estructurado y planificado respecto de:\n detectar, informar y evaluar incidentes de seguridad de la información;\n responder a los incidentes de seguridad de la información, incluyendo la\nactivación de controles apropiados para la prevención, reducción y recuperación\nde impactos (por ejemplo, en soporte a las áreas de gestión de crisis);\n informar sobre vulnerabilidades de seguridad de la información que\ntodavía no hayan sido explotadas para causar eventos de seguridad de la información y posiblemente incidentes de seguridad de la información, así como\nevaluarlas y tratarlas apropiadamente;\n aprender de los incidentes y vulnerabilidades de seguridad de la\ninformación, instituir controles preventivos, y hacer mejoras al enfoque general\nsobre la gestión de incidentes de seguridad de la información.\nEsta Norma Internacional provee guía sobre la gestión de incidentes de seguridad de la información en los capítulos 4 a 9. Estos capítulos consisten de varios apartados, los que incluyen una descripción detallada de cada fase.\nEl término ‘gestión de incidentes de seguridad de la información se utiliza en esta Norma Internacional para abarcar la gestión no solamente de los incidentes de seguridad de la información sino también de las vulnerabilidades de seguridad de la información.\nNTP-ISO/IEC 27035 1 de 123\nEsta Norma Técnica Peruana provee un enfoque estructurado y planificado para:\na) detectar, informar y evaluar incidentes de seguridad de la información;\nb) responder a los incidentes de seguridad de la información y manejarlos;\nd) mejorar continuamente la gestión de incidentes y seguridad de la información como resultado de manejar los incidentes y las vulnerabilidades de seguridad de la información.\nEsta Norma Técnica Peruana proporciona guía sobre la gestión de incidentes de seguridad de la información para organizaciones grandes y medianas. Las organizaciones más pequeñas pueden usar un conjunto básico de documentos, procesos y rutinas descritos en esta Norma Técnica Peruana, dependiendo de su tamaño y del tipo de negocio relacionado a la situación de riesgo de seguridad de la información. También proporciona guía para que las organizaciones externas provean servicios de gestión de incidentes de seguridad de la información.\nLos siguientes documentos son indispensables para la aplicación de esta Norma Técnica Peruana. Para referencias con fecha, solo aplica la edición citada. Para referencias sin fecha, aplica la última edición del documento en referencia (incluyendo cualquier modificación).\nNTP-ISO/IEC 27035 2 de 123\nTecnología de la información – Técnicas de seguridad – Sistema de gestión de seguridad de la información – Generalidades y vocabulario\nPara propósitos de esta Norma Técnica Peruana, se aplican los términos y definiciones proporcionados en ISO/IEC 27000 así como los siguientes:\nCriminalística de seguridad de la información Aplicación de técnicas de investigación y análisis para captar, registrar y analizar incidentes de seguridad de la información\nEquipo de respuesta a incidentes de seguridad de la información ERISI Equipo de miembros apropiadamente calificados y de confianza de la organización que maneja los incidentes de seguridad de la información durante su ciclo de vida.\nNOTA: ElERISI, tal como se describe en esta Norma Técnica Peruana, es una función organizativa que cubre el proceso para los incidentes de seguridad de la información y se centra principalmente en incidentes relacionados a TI. Otras funciones comunes (con abreviaciones similares) dentro del manejo de incidentes pueden tener un alcance y propósito ligeramente diferentes. Las abreviaciones siguientes de uso común tienen un significado similar al de ERISI aunque no exactamente el mismo:\n- EREC: Un Equipo de Respuesta de Emergencias de Computadoras se centra principalmente en\nincidentes sobre tecnología de información y comunicación (TIC). Puede haber otras definiciones\nnacionales específicas de EREC.\n- ERISC: Un Equipo de Respuesta a Incidentes de Seguridad de Computadoras es una organización de\nservicios responsable de recibir, revisar y responder a los reportes y actividad de incidentes de seguridad de computadoras. Estos servicios se realizan normalmente para un público definido que\npuede ser una entidad matriz, como una corporación, organización gubernamental u organización educativa; una región o país; una red de investigación; o un cliente pagado.\nNTP-ISO/IEC 27035 3 de 123\nEvento de seguridad de la información Ocurrencia identificada de un sistema, servicio o red que indica una posible ruptura de la\nseguridad, de la política o una falla en los controles de la información, o una situación desconocida previamente que pueda ser relevante para la seguridad. [ISO/IEC 27000:2009]\nIncidentes de seguridad de la información Un evento o una serie de eventos de seguridad de la información, no deseados o inesperados, que tienen una probabilidad importante de comprometer las operaciones de negocios y de amenazar la seguridad de la información.\nUn evento de seguridad de la información es una ocurrencia identificada de un sistema, servicio o estado de la red que indica una posible ruptura de la política de seguridad de la información o una falla de los controles, o bien una situación desconocida previamente que pueda ser relevante para la seguridad. Un incidente de seguridad de la información es un evento único o una serie de eventos de seguridad de la información, no deseados o inesperados, que tienen una probabilidad importante de comprometer las operaciones de negocios y de amenazar la seguridad de la información.\nLa ocurrencia de un evento de seguridad de la información no significa necesariamente que un intento haya sido exitoso o que haya cualquier implicación sobre la confidencialidad, integridad y/o disponibilidad; es decir, no todos los eventos de seguridad de la información están clasificados como incidentes de seguridad de la información.\nUna amenaza actúa de manera no deseada para explotar las vulnerabilidades (debilidades) de los sistemas, servicios o redes de información. Se trata de la ocurrencia de eventos de seguridad de la información y causa potencialmente incidentes no deseados en los activos de información expuestos por las vulnerabilidades. La figura 1 muestra esta relación de\nNTP-ISO/IEC 27035 4 de 123\nobjetos en una cadena de incidentes de seguridad de la información. Los objetos sombreados son preexistentes, afectados por los objetos no sombreados en la cadena que resulta en un incidente de seguridad de la información.\nImplicaciones sobre la\nLos objetos sombreados son pre-existentes y afectados por los objetos no sombreados en la cadena que resulta en un incidente de seguridad de la información\nFIGURA 1 - La relación de objetos en una cadena de incidentes de seguridad de la información\nComo parte clave de una estrategia de seguridad de la información general de la organización, la organización debería poner controles y procedimientos para habilitar un enfoque estructurado bien planificado respecto de la gestión de los incidentes de seguridad de la información. Desde una perspectiva de negocios, el objetivo principal es evitar o contener el impacto de los incidentes de seguridad de la información para reducir los costos directos e indirectos causados por los incidentes.\nLos pasos principales para minimizar el impacto negativo directo de los incidentes de seguridad de la información son los siguientes:\nNTP-ISO/IEC 27035 5 de 123\n- detener y contener,\n- analizar y reportar, y\nLos objetivos de un enfoque estructurado bien planificado son más refinados y deberían asegurar lo siguiente:\na) se detecta eventos de información de seguridad y se los trate eficientemente,\nen particular identificando si se les tiene que categorizar y clasificar como incidentes de seguridad de la información o no.\nb) los incidentes de seguridad de la información identificados se evalúan y se\nresponde a ellos de la manera más apropiada y eficiente.\nc) los efectos adversos de los incidentes de seguridad de la información sobre\nla organización y sus operaciones de negocio se minimizan por medio de controles apropiados como parte de la respuesta al incidente, posiblemente en conjunción con\nelementos relevantes de un plan o planes de gestión de crisis.\nlas vulnerabilidades reportadas de seguridad de la información se evalúan y se las trata apropiadamente.\nse aprende rápidamente de las lecciones de los incidentes de seguridad de la\ninformación, de las vulnerabilidades y de la gestión que se asocia a ellos. Esto es para incrementar las posibilidades de prevenir la ocurrencia de futuros incidentes de\nseguridad de la información, de mejorar la implementación y el uso de los controles de seguridad de la información, y de mejorar el esquema general de gestión de incidentes de seguridad de la información.\nPara ayudar a lograr esto, las organizaciones deberían asegurar que los incidentes de seguridad de la información se documenten de manera consistente, utilizando normas apropiadas para la categorización y clasificación de incidentes, y compartiendo, de tal manera que se cree métricas a partir de datos agregados sobre un periodo. Esto provee información valiosa para ayudar en el proceso de toma de decisiones estratégicas cuando se invierte en controles de seguridad de la información.\nNTP-ISO/IEC 27035 6 de 123\nSe reitera que otro objetivo asociado con esta Norma Técnica Peruana es proporcionar una guía a las organizaciones que buscan cumplir con los requisitos especificados en ISO/IEC 27001 (y así, apoyadas por medio de una guía proveniente de ISO/IEC 27002). Esto incluye formación de requisitos relacionados a la gestión de incidentes de seguridad de la información. En el Anexo A se muestra una tabla que tiene referencias cruzadas de los apartados relacionadas a la gestión de incidentes de seguridad de la información en ISO/IEC 27001 e ISO/IEC 27002, así como los apartados en esta Norma Técnica Peruana.\n4.3 Beneficios de un enfoque estructurado\nUna organización que utiliza un enfoque estructurado para la gestión de incidentes de seguridad de la información acumulará beneficios importantes, los cuales se pueden agrupar bajo los siguientes apartados:\na) Mejora general de seguridad de la información\nUn proceso estructurado para la detección, información y evaluación de y toma de decisiones relativas a los eventos e incidentes de seguridad de la información permitirá una identificación y respuesta rápidas. Esto mejorará la seguridad en general ayudando a identificar e implementar rápidamente una solución consistente y así proveer un medio de prevenir incidentes similares futuros de seguridad de la información. Más aún, habrá beneficios facilitados por la métrica, el compartir y la agregación. La credibilidad de la organización mejorará por la demostración de su implementación de mejores prácticas respecto de la gestión de incidentes de seguridad de la información.\nb) Reducción de impactos adversos al negocio\nUn enfoque estructurado de la gestión de incidentes de seguridad de la información puede ayudar a reducir el nivel de impactos potenciales y adversos al negocio asociados con incidentes de seguridad de la información. Estos impactos pueden incluir pérdida financiera inmediata y pérdida de más largo plazo que surge de una reputación y credibilidad dañada (para ver una guía sobre el análisis de impactos al negocio, véase ISO/IEC 27005:2008).\nFortalecimiento del enfoque de prevención de incidentes de seguridad de la\nLa utilización de un enfoque estructurado para la gestión de incidentes de seguridad de la información ayuda a crear un mejor enfoque sobre la prevención de incidentes dentro de una organización, incluyendo los métodos de identificación de amenazas y\nNTP-ISO/IEC 27035 7 de 123\nvulnerabilidades. El análisis de datos relacionados en los incidentes permitiría la identificación de patrones y tendencias, facilitando así el concentrarse más exactamente en la prevención de incidentes y de este modo lograr la identificación de acciones apropiadas para prevenir la ocurrencia de incidentes.\nd) Fortalecimiento de la priorización\nUn enfoque estructurado a la gestión de incidentes de seguridad de la información proveerá una base sólida para la priorización cuando se conduce investigaciones de incidentes de seguridad de la información incluyendo el uso de escalas eficaces de categorización y clasificación. Si no hay procedimientos claros, hay un riesgo de que las actividades de investigación pudieran conducirse de manera reactiva, respondiendo a los incidentes a medida que ocurren y pasando por alto qué actividades se necesitan. Esto podría impedir que las actividades de investigación se dirijan a áreas donde puede ser una alta prioridad, donde realmente se les necesitan y son la prioridad real.\ne) Fortalecimiento de la evidencia\nLos procedimientos claros de investigación de incidentes pueden ayudar a asegurar que la recolección y la manipulación de datos sean seguras desde el punto de vista de la producción de evidencias y sean legalmente admisibles. Estos son consideraciones importantes si se fuera a seguir un proceso judicial o una acción disciplinaria. Sin embargo, se debería reconocer que existe una posibilidad de que las acciones necesarias para recuperarse de un incidente de seguridad de la información pudieran poner en peligro la integridad de cualquier evidencia recolectada de dicha manera.\nf) Contribución a las justificaciones presupuestarias y de recursos\nUn enfoque bien definido y bien estructurado respecto de la gestión de incidentes de seguridad de la información ayudará a justificar y a simplificar la asignación de presupuestos y recursos dentro de unidades organizativas involucradas. Además, el beneficio se acumulará para el esquema mismo de gestión de incidentes de seguridad de la información con:\n- el uso de personal calificado para identificar y filtrar las alarmas de anormalidad o anomalía,\n- la provisión de una mejor dirección de las actividades del personal\n- la utilización de personal calificado solamente para aquellos procesos en los\nque se necesite sus habilidades y solamente en la etapa de proceso en la que se\nnecesite su contribución.\nNTP-ISO/IEC 27035 8 de 123\nOtro enfoque útil para controlar y optimizar el presupuesto y los recursos es añadir el rastreo de tiempo a la gestión de incidentes de seguridad de la información para facilitar las evaluaciones cuantitativas del manejo que la organización realiza de los incidentes de seguridad de la información. Por ejemplo, debería ser posible proveer información sobre cuánto tiempo toma resolver los incidentes de seguridad de la información de distintas prioridades y sobre diferentes plataformas. Si hay cuellos de botella en el proceso de gestión de incidencias de seguridad de la información, estos también deberían ser identificables.\ng) Mejoramiento de las actualizaciones respecto de la evaluación y de los\nresultados de la gestión de riesgos de seguridad de la información.\nEl uso de un enfoque estructurado respecto de la gestión de incidentes de seguridad de la información facilitará:\n- la mejor recolección de datos para ayudar en la identificación y\ndeterminación de las características de los distintos tipos de amenazas y vulnerabilidades asociadas, y\n- la provisión de datos sobre frecuencias de ocurrencias de los tipos de amenazas identificadas.\nLa recolección de datos sobre los impactos adversos a las operaciones de negocios debido a los incidentes de seguridad de la información será útil en el análisis de impactos al negocio. Los datos recolectados para identificar la frecuencia de ocurrencias de los diversos tipos de amenaza ayudarán en gran medida a la calidad de la evaluación de la amenaza. De manera similar, los datos recolectados sobre vulnerabilidades ayudarán en gran medida a la calidad de las futuras evaluaciones de vulnerabilidad. (Para ver una guía sobre la evaluación y la gestión de riesgos de seguridad de la información, consultar ISO/IEC 27005:2008).\nh) Proporción de una mejor consciencia de seguridad de la información y de\nmaterial de programas de capacitación.\nUn enfoque estructurado de la gestión de incidencias de seguridad de la información proveerá información focalizada a los programas sobre consciencia de seguridad de la información. Esta información focalizada proporcionará ejemplos reales que demuestren que los incidentes de seguridad de la información le ocurren a organizaciones reales. También será posible demostrar los beneficios asociados con la rápida disponibilidad de información sobre soluciones. Por otro lado, dicha conciencia ayuda a reducir un error o el pánico/la confusión de un individuo en caso se produjera un incidente de seguridad de la información.\nNTP-ISO/IEC 27035 9 de 123\ni) Proporción de insumos a la política de seguridad de la información y a las\nrevisiones de documentación relacionadas\nLos datos que proporciona un esquema de gestión de incidentes de seguridad de la información podrían proveer insumos valiosos a las revisiones de la eficacia y subsecuente mejora de las políticas de seguridad de la información (y a otros documentos relacionados de seguridad de la información). Eso se aplica a las políticas y otros documentos aplicables tanto para toda la organización como para los sistemas, servicios y redes en particular.\nLa guía que esta Norma Técnica Peruana proporciona es extensa y si se adopta plenamente podría requerir de importantes recursos para operar y gestionarse. Por lo tanto, es importante que una organización que aplique esta guía tenga un sentido de la perspectiva y asegure que los recursos aplicados a la gestión de incidentes de seguridad de la información y la complejidad de los mecanismos implementados se mantengan en proporción a lo siguiente:\na) tamaño, estructura y naturaleza del negocio de una organización,\nb) alcance de cualquier sistema de gestión de seguridad de la información\ndentro del que se manejan los incidentes,\nc) potencial de pérdida a través del surgimiento de incidentes no previstos, y\nd) las metas del negocio.\nUna organización que utiliza esta Norma Técnica Peruana debería por lo tanto adoptar esta guía en proporción debida a la escala y características de su negocio.\nPara lograr los objetivos delineados en el apartado 4.2, la gestión de incidentes de seguridad de la información consiste en las siguientes 5 fases distintivas:\n- planeamiento y preparación,\nNTP-ISO/IEC 27035 10 de 123\n- detección e información,\n- evaluación y decisión,\n- respuesta, y\nLa primera fase incluye obtener todo lo que se requiere para realizar una gestión exitosa de incidentes de seguridad de la información. Las otras cuatro fases involucran el uso operativo de la gestión de incidentes de seguridad de la información.\nNTP-ISO/IEC 27035 11 de 123\nLa figura 2 muestra una vista general de estas fases:\nPLANEAMIENTO Y REPARACIÓN\n política de gestión de incidencias de seguridad de la información y compromiso de la alta gerencia\n políticas de seguridad de la información y de gestión del riesgo actualizada, tanto a nivel corporativo como a nivel de sistema, servicio y red\n esquema de gestión de incidentes de seguridad de la información\n establecimiento del ISIRT\n apoyo técnico y de otro tipo (incluyendo apoyo a las operaciones)\n explicaciones y capacitación sobre la consciencia de la gestión de incidentes de seguridad de la información\n pruebas al esquema de gestión de incidentes de seguridad de la información\n detección e información de eventos de seguridad de la información.\n evaluación del evento de seguridad de la información y decisión sobre si se trata de un incidente de seguridad de la información.\n respuestas al incidente de seguridad de la información, incluyendo análisis forense\n recuperación del incidente de seguridad de la información.\n si se requiere continuar con el análisis forense\n identificación de lecciones aprendidas\n identificación de seguridad de la información y mejoras a la misma\n identificación y mejoras a la evaluación de riesgos de seguridad de la información y a los resultados de la revisión de la gerencia\n identificación de un esquema de gestión de incidentes de seguridad de la información y mejoras al mismo.\nFIGURA 2 – Fases de gestión de incidentes de seguridad de la información\nNTP-ISO/IEC 27035 12 de 123\n4.6 Ejemplos de incidentes de seguridad de la información\nLos incidentes de seguridad de la información pueden ser deliberados o accidentales (por ejemplo, causados por error o por actos de la naturaleza), y pueden ser causados por medios técnicos o físicos. Sus consecuencias pueden incluir la revelación, modificación, destrucción o no disponibilidad de la información de manera no autorizada, o el daño o robo de activos de la organización. Si se determina que los eventos de seguridad de la información no reportados son incidentes, se hace difícil investigar los incidentes y tomar el control para prevenir la recurrencia.\nEl anexo B provee descripciones de ejemplos seleccionados de incidentes de seguridad de la información y de sus causas solamente para propósitos informativos. Es importante notar que estos ejemplos no son en absoluto exhaustivos.\nFASE DE PLANEAMIENTO Y PREPARACIÓN\nRevisión de actividades claves\nLa gestión eficaz de incidentes de seguridad de la información requiere un planeamiento y preparación apropiados. Para poder hacer operativo un esquema de gestión,\nvulnerabilidades, incidentes y eventos de seguridad de la información de manera eficiente\ny eficaz, una organización debería completar un número de actividades preparatorias luego\ndel planeamiento necesario. La organización debería asegurar que las actividades del plan\ny de la fase de preparación incluyan lo siguiente:\na) Actividad para formular y producir una política de gestión de eventos /\nincidentes / vulnerabilidades de seguridad, y obtener el compromiso de la alta gerencia respecto de esa política. Esto debería ser precedido por una revisión de seguridad de la información sobre las vulnerabilidades de la organización, de\nconfirmación de la necesidad de un esquema de gestión de incidentes de seguridad de\ninformación, y de identificación de los beneficios a la organización en su conjunto\na sus departamentos. (Véase el apartado 5.2) Asegurar el compromiso permanente\nde la gerencia es vital para la aceptación de un enfoque estructurado para la gestión de incidentes de seguridad de la información. El personal necesita reconocer un\nincidente, saber qué hacer y comprender los beneficios del enfoque para la organización. La gerencia necesita mostrar su apoyo del esquema de gestión para\nNTP-ISO/IEC 27035 13 de 123\nasegurar que la organización se comprometa a brindar recursos y a mantener una capacidad de respuesta a los incidentes.\nb) Actividad para actualizar la información de seguridad y las políticas de\ngestión del riesgo a un nivel corporativo y a nivel de sistemas, servicio y redes específicos. Esto debería incluir referencia a la gestión de eventos, incidentes y vulnerabilidades de seguridad de la información. Se tiene que revisar regularmente las políticas en el contexto de los resultados provenientes del esquema de gestión de incidentes de seguridad de la información. (Véase el apartado 5.3)\nc) Actividad para definir y documentar un esquema detallado de gestión de\nincidentes de seguridad de la información. En general, la documentación del esquema debería abarcar los formularios, procedimientos, elementos organizativos y herramientas de apoyo para la detección y para la información de evaluación y toma de decisiones relacionadas a proporcionar respuestas a y lecciones aprendidas de los incidentes de seguridad de la información. Los temas que se deben incluir son los siguientes:\n1) Se debe utilizar una escala de clasificación de eventos / incidentes de seguridad de la información para graduar los eventos / incidentes. En cualquier caso, la decisión debería basarse en los impactos adversos reales o proyectados sobre las operaciones de negocios de la organización.\nNOTA: El Anexo C muestra un enfoque como ejemplo de categorización y clasificación de eventos e incidentes de seguridad de la información.\n2) Los formularios de eventos / incidentes / vulnerabilidades de seguridad de la información son:\ni) llenados por la persona que proporciona información sobre el\nevento de seguridad (es decir, no un miembro del equipo de gestión de incidentes de seguridad de la información), con la información\nregistrada en una base de datos de eventos / incidentes / vulnerabilidades de seguridad de la información,\nii) usados por el personal de gestión de incidentes de seguridad\nde la información para construir sobre la información del evento de seguridad de la información reportado y habilitar un registro continuo de evaluaciones de incidentes, etc. a lo largo del tiempo hasta que el incidente se resuelva plenamente. En cada etapa se registra la actualización en la base de datos de eventos / incidentes / vulnerabilidades de seguridad de la información. Luego se usa el registro de la base de datos de eventos / incidentes / vulnerabilidades\nNTP-ISO/IEC 27035 14 de 123\nde seguridad de la información ya llenados en las actividades de resolución post-incidente, y\niii) llenados por la persona que reporta una vulnerabilidad de\nseguridad de la información (que todavía no ha sido explotada para causar un evento de seguridad de la información y posiblemente un incidente de seguridad de la información) con la información registrada en la base de datos de eventos / incidentes / vulnerabilidades de seguridad de la información.\nSe recomienda que estos formularios sean electrónicos (por ejemplo, alguna página web segura), se enlacen directamente a la base de datos electrónica de eventos/incidentes/vulnerabilidades de seguridad de la información. En el mundo de hoy en día, la operación de un esquema basado en papel consumiría mucho tiempo. Sin embargo, un esquema basado en papel podría ser necesario para un caso en el que no se puede utilizar un esquema electrónico.\nNOTA: El Anexo D muestra formularios como ejemplo.\n3) Los procedimientos y acciones documentados relacionados al uso de los formularios, es decir asociados con la detección de eventos, incidentes y vulnerabilidades de seguridad de la información, con enlaces a los procedimientos normales para el uso de planes de gestión de crisis y respaldo de sistemas, servicios y/o redes.\n4) Procedimientos operativos para ERISI, con procesos documentados y responsabilidades asociadas, y la asignación de roles a personas designadas para que conduzcan diversas actividades (se puede asignar a un individuo más de un rol, dependiendo del tamaño, estructura y naturaleza del negocio de una organización) incluyendo por ejemplo:\ni) cierre de un sistema, servicio y/o red afectado, en ciertas\ncircunstancias acordado por arreglo previo con la gestión relevante de\nTI y/o el negocio,\nii) dejar un sistema, servicio y/o red afectado conectado y\niii) monitorear el flujo de datos de, a y dentro de un sistema,\nservicio y/o red afectado,\niv) activar procedimientos y acciones normales de respaldo y\ngestión de crisis en línea con la política de seguridad del sistema,\nservicio y/o red,\nNTP-ISO/IEC 27035 15 de 123\nv) monitorear y mantener la preservación segura de evidencia\nelectrónica en caso se requiera para un proceso legal o una acción\ndisciplinaria interna, y\ninformación a personas u organizaciones internas y externas.\nEn algunas organizaciones, el esquema se puede conocer como plan de respuesta a incidentes de seguridad de la información (véase el apartado 5.4.)\nd) Actividad para establecer el ERISI, con un programa de capacitación\napropiado diseñado, desarrollado y proporcionado a su personal. De acuerdo con el tamaño, estructura y naturaleza del negocio, una organización puede tener un ERISI de un equipo dedicado, un equipo virtual, o una mezcla de las dos opciones. Un equipo dedicado puede tener miembros virtuales identificados en unidades/funciones específicas que deberían cooperar de cerca con el ERISI durante la resolución de un incidente de seguridad de la información (TIC, legal, relaciones públicas, compañías tercerizadas, etc.). Un equipo virtual puede tener un alto gerente que lidere el equipo apoyado por grupos de individuos especializados en temas particulares, por ejemplo en el manejo de ataques de código malicioso, a quienes se llamará dependiendo del tipo de incidente concernido. (véase el apartado 5.5)\ne) Actividad para establecer y preservar relaciones y conexiones apropiadas\ncon organizaciones internas y externas que están directamente involucradas en la gestión de eventos, incidentes y vulnerabilidades de seguridad de la información.\nf) Actividad para establecer, implementar y operar mecanismos de apoyo\ntécnico y de otro tipo (incluyendo la organizacional) para apoyar el esquema de gestión de incidentes de seguridad de la información y, de esta manera, el trabajo del\nERISI, y para impedir ocurrencias de incidentes de seguridad de la información o reducir la posibilidad de ocurrencias de incidentes de seguridad de la información. (véase el apartado 5.6) Dichos mecanismos podrían incluir lo siguiente:\nevaluar el nivel de seguridad y rastrear los sistemas vulnerables,\nMecanismo de auditoría interna de seguridad de la información para\n2) Gestión de vulnerabilidades (incluyendo actualizaciones de seguridad y parchado de seguridad de los sistemas vulnerables),\nVigilancias de la tecnología para detectar nuevos tipos de amenazas\nNTP-ISO/IEC 27035 16 de 123\n5) Dispositivos, medios de protección y herramientas de monitoreo de seguridad de la red (para más detalles, véase ISO/IEC 27033),\nSoftware contra código malicioso,\nRegistros del historial de auditorías y software de monitoreo del\n8) Responsabilidades y procedimientos operativos documentados para el equipo de apoyo a las operaciones.\ng) Actividad para diseñar y desarrollar la conciencia y el programa de\ncapacitación sobre gestión de eventos, incidentes y vulnerabilidades de seguridad de la información. Todo el personal de la organización debería hacerse consciente a través de explicaciones y/u otros mecanismos de la existencia del esquema de gestión de eventos, incidentes y vulnerabilidades de seguridad de la información, sus beneficios y cómo reportar eventos, incidentes y vulnerabilidades de información. En paralelo, se debería proporcionar capacitación apropiada al personal responsable de manejar el esquema de gestión de eventos, incidentes y vulnerabilidades de seguridad de la información, los formuladores de decisiones involucrados en determinar si los eventos de seguridad de la información son incidentes, y aquellos individuos involucrados en la investigación de incidentes. Se debería repetir posteriormente las explicaciones sobre la consciencia y sesiones de capacitación para acomodarse a los cambios en el personal. (Véase el apartado 5.7)\nh) Actividad para comprobar el uso del esquema de gestión de incidentes de\nseguridad de la información así como sus procesos y procedimientos. Se debería organizar periódicamente pruebas no sólo para comprobar el esquema de una situación real sino también para verificar cómo se comporta el ERISI bajo la presión de un incidente complejo grave. Se debería dar atención particular a la creación de pruebas que se centren en los escenarios de vulnerabilidades, amenazas y riesgos a medida que evolucionan. (véase el apartado 8). El esquema debería incluir normas que apoyen el compartir información, tanto dentro como fuera de la organización (si la organización lo requiere). Uno de los beneficios de compartir es la agregación de datos en métrica útil para ayudar a las decisiones estratégicas para el negocio. La membresía de una comunidad que comparte información y en la cual se confía también proporciona advertencia temprana sobre los ataques y se debería alentar en cualquier esquema de gestión de incidente de seguridad de la información y política\nque se le asocie.\nNTP-ISO/IEC 27035 17 de 123\nUna vez que se completa esta fase, las organizaciones deberían estar plenamente preparadas para manejar apropiadamente los incidentes de seguridad de la información. Los apartados siguientes describen cada una de las actividades listadas anteriormente incluyendo los contenidos de cada documento requerido.\nUna organización debería documentar su política para manejar los eventos, incidentes y vulnerabilidades de seguridad de la información como un documento independiente, como parte de su política general del sistema de gestión de seguridad de la información (véase el apartado 4.2.1 b o ISO/IEC 27001:2005), o como parte de su Política de Seguridad de la Información (véase el apartado 5.1.1 de ISO/IEC 27002:2005). El tamaño, estructura y naturaleza del negocio de una organización y la extensión de su programa de gestión de incidentes de seguridad de la información son factores decisivos para determinar cuál de estas opciones adoptar. Cada organización debería dirigir su política de gestión de incidentes de seguridad de la información a cada persona que tenga acceso legítimo a sus sistemas de información y ubicaciones relacionadas.\nAntes de que se formule la política, la organización debería conducir una revisión de seguridad de la información que destaque sus vulnerabilidades, que confirme la necesidad de una gestión de incidentes de seguridad de la información y que identifique los beneficios para la organización en su conjunto y para sus departamentos.\n5.2.2 Partes involucradas\nUna organización debería asegurar que su política de gestión de incidentes de seguridad de la información sea aprobada por un alto funcionario ejecutivo de la organización con el compromiso documentado confirmado de toda la alta gerencia. Debería hacerse disponible a todos los empleados y contratistas y también debería tratarse en las explicaciones y capacitación sobre la consciencia de la seguridad de la información. (véase el apartado 5.7)\nNTP-ISO/IEC 27035 18 de 123\nUna organización debería asegurar que su contenido en la política de gestión de incidentes de seguridad de la información trate de los siguientes temas:\na) La importancia de la gestión de incidentes de seguridad de la información\npara la organización y el compromiso de la alta gerencia con ella y con el esquema relacionado a la misma.\nb) Una revisión de la detección, información y recolección de información\nrelevante sobre eventos de seguridad de la información y sobre cómo debería utilizarse esta información para determinar los incidentes de seguridad de la información.\nEsta revisión debería incluir un resumen de posibles tipos de eventos de seguridad de la información, cómo informar sobre ellos, qué informar, dónde y a quién y cómo manejar íntegramente los nuevos tipos de eventos de seguridad de la información, también debería incluir un resumen de los informes y manejo de vulnerabilidades de seguridad de la información.\nc) Una revisión de la evaluación de incidentes de seguridad de la información,\nincluyendo un resumen de quién es responsable, qué se tiene que hacer, de la notificación y el escalamiento.\nd) Un resumen de las actividades que siguen a la confirmación de que un\nevento de seguridad de la información es un incidente de seguridad de la\ne) Una referencia respecto de la necesidad de asegurar que todas las\nactividades de gestión de incidentes de seguridad de la información se registran apropiadamente para su análisis posterior y que se conduce un monitoreo continuo para asegurar la preservación segura de evidencia electrónica, en caso se requiera proceso legal o una acción disciplinaria interna.\nf) Actividades posteriores de resolución de incidentes de seguridad de la\ninformación, incluyendo el aprendizaje de y el mejoramiento del proceso, luego de\ng) Una revisión de los informes y manejos de las vulnerabilidades de seguridad\nNTP-ISO/IEC 27035 19 de 123\nh) Detalles de dónde se mantiene la documentación del esquema, incluyendo\ni) Una revisión del ERISI, abarcando los temas siguientes.\n1) La estructura organizativa del ERISI y la identidad del gerente del ERISI, así como de otros miembros clave del personal, incluyendo quién es responsable de:\ni) explicar a la alta gerencia los incidentes,\nii) resolver consultas, incentivar el seguimiento, etc., y\niii) el enlace con la organización externa (cuando sea necesario).\n2) El estatuto sobre gestión de seguridad de la información que especifica lo que debe hacer el ERISI y la autoridad bajo la cual lo hace. Como mínimo, el estatuto debería incluir una declaración de misión, una definición del alcance del ERISI y detalles del auspiciador a nivel del directorio del ERISI y su autoridad.\n3) La declaración de misión del ERISI que se centra en actividades principales del equipo. Para considerarse un ERISI, el equipo debería apoyar la evaluación de, responder a, y manejar los incidentes de seguridad de la información hasta una conclusión exitosa. Las metas y propósitos del equipo son especialmente importantes y requieren definiciones claras y no ambiguas.\n4) Una definición del alcance de las actividades del ERISI. Normalmente, el alcance del ERISI de una organización cubre todos sistemas, servicios y redes de información de la organización. En otros casos, la organización puede, por cualquier razón, requerir que el alcance sea menor que esto, en cuyo caso debería documentarse claramente lo que se incluye y lo que se excluye del alcance.\n5) Identificación de un alto funcionario ejecutivo, miembro del directorio o alto gerente que tenga la autoridad de tomar una decisión sobre el ERISI y también de establecer los niveles de autoridad del ERISI. Saber esto ayuda a todo el personal de la organización a comprender los antecedentes y la constitución del ERISI y es información vital para construir confianza en el ERISI. Se debería notar que antes de que se promulgue este detalle debería verificarse desde una perspectiva legal. En\nNTP-ISO/IEC 27035 20 de 123\nalgunas circunstancias, la divulgación de la autoridad de algún equipo puede exponerlo a demandas de responsabilidad.\nEnlaces a organizaciones que proveen apoyo específico externo,\ncomo equipos forenses. (Véase el apartado 5.5.4)\nj) Una revisión de los mecanismos técnicos y sobre otros soportes.\nk) Una revisión de la consciencia de la gestión de incidentes de seguridad de la\ninformación y del programa de capacitación.\nl) Un resumen de los aspectos legales y regulatorios que tienen que tratarse. (Véase más detalles en el anexo E)\nIntegración en otras políticas de la gestión de incidentes de seguridad de la\nUna organización debería incluir contenido sobre la gestión de incidentes de seguridad en la información en sus políticas sobre seguridad de la información y gestión del riesgo a nivel corporativo, así como sobre los niveles de sistemas, servicios y redes específicos y relacionar este contenido a la política de gestión de incidentes. La integración debería tener los siguientes objetivos:\nseguridad, particularmente un esquema para reportar y manejar incidentes de\nb) Indicar el compromiso de la alta gerencia respecto de la necesidad de una\npreparación y respuesta apropiadas a los incidentes de seguridad de la información,\nes decir, al esquema de gestión de incidentes de seguridad de la información.\nc) Asegurar consistencia a lo largo de las diversas políticas.\nd) Asegurar respuestas planeadas, sistemáticas y calmadas ante los incidentes\nde seguridad de la información, minimizando así los impactos adversos de los\nNTP-ISO/IEC 27035 21 de 123\nVéase ISO/IEC 27005:2008 para guiarse sobre la evaluación y la gestión de riesgos de seguridad de la información.\nCada organización debería actualizar y mantener sus políticas corporativas de gestión del riesgo y de seguridad de la información, y sus políticas de seguridad de la información de sistemas, servicios o redes específicos. Éstas políticas tienen que referirse a una política corporativa de gestión de incidentes de seguridad de la información y al esquema que se le asocia explícitamente.\nLas secciones relevantes deberían delinear la política.\nLas secciones relevantes deberían delinear los procesos del esquema y la\nd) Las secciones relevantes deberían delinear los requisitos para detectar,\nreportar, evaluar y administrar eventos, incidentes y vulnerabilidades de seguridad de la información.\ne) Las secciones relevantes deberían indicar claramente quiénes son las\npersonas responsables de autorizar y / o llevar a cabo ciertas acciones cruciales\ndentro del personal (por ejemplo, sacar de la línea un sistema de información o incluso cerrarlo).\nLas políticas deberían incluir el requisito de establecer mecanismos de revisión apropiados. Estos mecanismos tienen que asegurar que la información de la detección, monitoreo y resolución de incidentes de seguridad de la información y del tratamiento de las vulnerabilidades de seguridad de la información reportadas se utilice como insumo para asegurar la eficacia continua de las políticas corporativas de seguridad de la información y gestión del riesgo y de las políticas de seguridad de la información de sistemas, servicios o redes específicos.\nNTP-ISO/IEC 27035 22 de 123\nEsquema de gestión de incidentes de seguridad de la información\nEl objetivo de un esquema de gestión de incidentes de seguridad de la información es proporcionar documentación detallada que describa las actividades y procedimientos para tratar los eventos e incidentes de seguridad de la información y la comunicación de dichos eventos, incidentes y vulnerabilidades. El esquema de gestión de incidentes de seguridad de la información entra en efecto siempre que se detecte un evento de seguridad de la información o se reporte una vulnerabilidad de seguridad de la información. Cada organización debería utilizar el esquema como una guía para:\na) responder a eventos de seguridad de la información,\nb) determinar si los eventos de seguridad de la información se convierten en\nincidentes de seguridad de la información,\nd) responder a las vulnerabilidades de seguridad de la información,\ne) identificar las lecciones aprendidas y cualquier mejora al esquema y / o a la\nseguridad en general que se requiera, y\nf) realizar las mejoras identificadas.\n5.4.2 Partes involucradas\nUna organización debe asegurar que el esquema de gestión de incidentes de seguridad de la información sea compartido con todo el personal y contratistas asociados, proveedores de servicios de TIC, proveedores de telecomunicaciones y compañías tercerizadas, cubriendo así las siguientes responsabilidades:\na) detectar y reportar eventos de seguridad de la información (esto es\nresponsabilidad de cualquier miembro del personal permanente o contratado en una organización y sus compañías),\nNTP-ISO/IEC 27035 23 de 123\nb) evaluar y responder a eventos e incidentes de seguridad de la información,\ninvolucrándose en las actividades de aprendizaje luego de que el incidente se resuelva y mejorando la seguridad de la información así como el esquema mismo de gestión de incidentes de seguridad de la información (esto es responsabilidad de los miembros del punto de contacto (PdC), el ERISI, la gerencia, el personal de relaciones públicas y los representantes legales), y\nc) reportar las vulnerabilidades de seguridad de la información (esto es\nresponsabilidad de cualquier miembro del personal permanente o contratado en una organización y sus compañías), y ocuparse de ellas.\nEl esquema debería tomar en cuenta cualquier usuario tercero y los incidentes y vulnerabilidades asociados de seguridad de la información reportados desde organizaciones tercerizadas y la información sobre incidentes y vulnerabilidades de seguridad de la información gubernamental y comercial así como las de organizaciones proveedoras.\nCada organización debería asegurar que el contenido de la documentación del esquema de gestión de incidentes de seguridad de la información incluya lo siguiente:\na) Una revisión de la política de la gestión de incidentes de seguridad de la\nb) Una revisión de todo el esquema de gestión de incidentes de seguridad de la\nc) Las actividades, procedimientos e información detallados asociados con lo\ni) Un enfoque estandarizado respecto de la categorización y\nclasificación de eventos / incidentes de seguridad de la información\npara permitir proveer resultaos consistentes. En cualquier caso, la decisión debe basarse en los impactos reales o proyectados sobre las operaciones de negocios de la organización y la guía que se les asocia.\nNTP-ISO/IEC 27035 24 de 123\nNOTA: El Anexo C muestra como ejemplo un enfoque de la categorización y clasificación de eventos e incidentes de seguridad de la información.\nii) Una estructura de base de datos de eventos / incidentes /\nvulnerabilidad de seguridad de la información estándar, que\nprobablemente provee la capacidad de comparar resultados, mejora\nla información de alertas y permite una visión más exacta de las\namenazas a los sistemas de información y sus vulnerabilidades.\niii) Una guía para determinar si se requiere llevar el asunto a un\nnivel superior durante cada proceso relevante y a quién y los procedimientos asociados. En base a la guía proporcionada en la documentación del esquema de gestión de incidentes de seguridad de la información, cualquiera que evalúe un evento, incidente o vulnerabilidad de seguridad de la información debería conocer en\nqué circunstancias es necesario llevar los asuntos a un nivel superior\ny a quién se los debería llevar. Además, existen circunstancias\nimprevistas de cuándo esto puede ser necesario. Por ejemplo, un incidente menor de seguridad de la información podría evolucionar hacia una situación importante o de crisis si no se maneja\napropiadamente o un incidente menor de seguridad de la información\nal que no se hace seguimiento en una semana podría convertirse en\nun incidente de seguridad de la información mayor. La guía debería definir tipos de eventos e incidentes de seguridad de la información, tipos de escalamiento y quién debe instituir el escalamiento.\niv) Procedimientos a seguirse para asegurar que todas las\nactividades de gestión de incidentes de seguridad de la información\nse registran adecuadamente en el formulario apropiado y que personal designado conduce un análisis del registro.\nv) Procedimientos y mecanismos para asegurar que el régimen\nde control de cambios se mantiene cubriendo el rastreo de eventos, incidentes y vulnerabilidades de seguridad de la información así como las actualizaciones de los reportes de eventos / incidentes / vulnerabilidades de seguridad de la información y las actualizaciones del esquema mismo.\nvi) Procedimientos para el análisis forense de seguridad de la\nNTP-ISO/IEC 27035 25 de 123\nvii) Procedimientos y guía sobre cómo utilizar Sistemas de\nDetección de Intrusiones (SDI), asegurando que se ha resuelto los aspectos legales y regulatorios. La guía debe incluir una discusión de\nlas ventajas y desventajas de realizar actividades de vigilancia de atacantes. En ISO/IEC 18043:2006 se proporciona mayor información sobre el SDI.\nviii) Guía y procedimientos asociados con los mecanismos\ntécnicos y organizativos que se establecen, implementan y operan para prevenir ocurrencias de incidentes de seguridad de la información y para reducir la posibilidad de ocurrencias de incidentes de seguridad de la información así como para ocuparse de los incidentes de seguridad de la información que ocurrieron.\nix) Material para el programa de capacitación y concientización\nsobre la gestión de eventos, incidentes y vulnerabilidades de\nx) Procedimientos y especificaciones para hacer pruebas al\nxi) El esquema del organigrama para la gestión de incidentes de\nxii) Los términos de referencia y responsabilidades del ERISI en\nsu conjunto y de miembros individuales.\nxiii) Información de contacto importante.\ni) Detectar y reportar la ocurrencia de eventos de seguridad de\nla información (por medios humanos o automáticos).\nii) Recolectar la información sobre eventos de seguridad de la\niii) Detectar y reportar vulnerabilidades de seguridad de la\niv) Registrar por completo toda la información recolectada en la\nbase de datos de gestión de incidentes de seguridad de la información.\nNTP-ISO/IEC 27035 26 de 123\nEl PdC que dirige evaluaciones de eventos de seguridad de la\ninformación (incluyendo el escalamientos según se requiera), utilizando la escala de clasificación de incidentes / eventos de seguridad de la información acordada (incluyendo la determinación de los impactos de eventos basados en los activos / servicios afectados) y decidiendo si los eventos deben clasificarse como incidentes de seguridad de la información.\nEl ERISI que evalúa los eventos de seguridad de la\ninformación debería confirmar si un evento es un incidente de seguridad de la información o no y luego se debería conducir otra evaluación utilizando la escala de clasificación de eventos / incidentes de seguridad de la información para confirmar los detalles del tipo de evento (potencial de incidente) y recurso afectado (categorización). Esto debería estar seguido por las decisiones realizadas sobre cómo debe tratarse el incidente de seguridad de la información confirmado, quién debe tratarlo, con qué prioridad, así como los niveles de escalamiento.\nEvaluación de vulnerabilidades de seguridad de la\ninformación (que todavía no han sido explotadas para causar eventos de seguridad de la información e incidentes potenciales de seguridad de la información), con las decisiones tomadas en base a las que necesitan ser tratadas, por quién, cómo y en qué prioridad.\nRegistro completo de todos los resultados de evaluación y\ndecisiones relacionadas en la base de datos de incidentes de\ni) Revisión por parte del ERISI para determinar si el incidente\nde seguridad de la información está bajo control y\n- Si el incidente está bajo control, promover la\nrespuesta requerida, ya sea inmediatamente (en tiempo real o en tiempo casi real) o en un momento posterior,\n- Si el incidente no está bajo control o si va a tener un impacto severo sobre los servicios medulares de las\nNTP-ISO/IEC 27035 27 de 123\norganizaciones, promover actividades de crisis a través del escalamiento a una función de manejo de crisis.\norganizaciones internas y externas que deberían estar involucradas\ndurante la gestión de un incidente.\ninformación, según se requiera.\niv) Escalamiento, según se requiera.\nv) Aseguramiento de que todas las actividades involucradas se\nregistren adecuadamente para un análisis posterior.\nvi) Aseguramiento de que se recoge evidencia electrónica y se la\nalmacena de manera comprobadamente segura.\nvii) Aseguramiento de que el régimen de control de cambios se\nmantenga y de este modo se mantenga actualizada la base de datos de eventos / incidentes / vulnerabilidades de seguridad de la\nviii) Comunicación de que existe un incidente de seguridad de la\ninformación o cualquier detalle relevante del mismo a otras personas\nu organizaciones internas y externas.\nx) Una vez que el incidente se ha tratado exitosamente, cerrarlo\nformalmente y registrar esto en la base de datos de gestión de incidentes de seguridad de la información.\nCada organización debería asegurar que la documentación del esquema de gestión de incidentes de seguridad de la información permita respuestas a los incidentes de seguridad de la información, tanto de manera inmediata como a un plazo más largo. Todos los incidentes de seguridad de la información deberían pasar por una evaluación temprana de los impactos potenciales adversos a las operaciones del negocio tanto en el corto como en el largo plazo (por ejemplo, podría ocurrir un desastre importante algún tiempo después de un incidente inicial de seguridad de la información). Además, esto debería permitir algunas respuestas necesarias a incidentes de seguridad de la información que son completamente\nNTP-ISO/IEC 27035 28 de 123\nimprevistos, en donde se requieren controles ad hoc. Incluso para esta situación, las organizaciones deberían incluir lineamientos generales en la documentación del esquema sobre los pasos que pueden ser necesarios.\ni) Conducir análisis forenses de seguridad de la información\nadicionales, según se requiera.\nii) Identificar las lecciones aprendidas a partir de los incidentes\ny vulnerabilidades de seguridad de la información.\niii) Revisar, identificar y hacer mejoras a la implementación del\ncontrol de seguridad de la información (controles nuevos y / o actualizados), así como a la política de gestión de incidentes de seguridad de la información como resultado de las lecciones aprendidas.\niv) Revisar, identificar y, si es posible, hacer mejoras a la\nevaluación existente de riesgos de seguridad de la información y a los resultados de la revisión de la gestión de la organización, como\nun producto de las lecciones aprendidas.\nv) Revisar cuán eficaces han sido los procesos, procedimientos,\nformatos de reporte y / u organigramas para responder a la evaluación y recuperación de cada incidente de seguridad de la información y para ocuparse de las vulnerabilidades de seguridad de la información, y, sobre la base de las lecciones aprendidas, identificar y hacer mejoras al esquema de gestión de incidentes de seguridad de la información y a su documentación.\nvulnerabilidades de seguridad de la información\nvii) Comunicar y compartir los resultados de la revisión dentro\nde una comunidad de confianza (si así lo desea la organización)\nAntes de poder comenzar la operación del esquema de gestión de incidentes de seguridad de la información, es importante que una organización haya documentado y verificado que\nNTP-ISO/IEC 27035 29 de 123\nse dispone de procedimientos. Dichos procedimientos deben indicar aquellos grupos o individuos responsables de su uso y manejo según sea apropiado a partir del PdC y / o ERISI. Dichos procedimientos deberían asegurar que se reúna y almacene de manera segura la evidencia electrónica y de que se monitoree continuamente su preservación segura, en caso se requiera para un proceso legal o una acción disciplinaria interna. Más aún, debería haber procedimientos documentados que cubran no solamente las actividades del PdC y del ERISI, sino de aquellos involucrados en el análisis forense de seguridad de la información y en las actividades de crisis - si esto no estuviera cubierto en algún otro lugar, por ejemplo, en un plan de continuidad del negocio o en un plan de gestión de crisis. Los procedimientos documentados deberían estar enteramente en línea con la política documentada de gestión de incidentes de seguridad de la información y otra documentación del esquema de gestión de incidentes de seguridad de la información.\nEs importante comprender que no todos los procedimientos tienen que estar disponibles públicamente, por ejemplo, no es necesario que todo el personal de la organización comprenda la operación interna de un ERISI para interactuar con él. El ERISI debería asegurar que la guía disponible públicamente, incluyendo la información resultante del análisis de gestión de incidentes de seguridad de la información esté en un formato disponible inmediatamente, por ejemplo, en la intranet de la organización. También es importante mantener algunos detalles del esquema de gestión de incidentes de seguridad de la información bien resguardados para evitar que un miembro interno perturbe el proceso de investigación. Por ejemplo, si un empleado de banco que está malversando fondos es consciente de algunos detalles del esquema, él o ella puede ser capaz de esconder mejor sus actividades a los investigadores o de impedir de una u otra manera la detección, investigación y recuperación de un incidente de seguridad de la información.\nEl contenido de los procedimientos operativos depende de una serie de criterios especialmente relacionados con la naturaleza de los eventos, incidentes y vulnerabilidades conocidos y potenciales de seguridad de la información y los tipos de activos de sistemas de información que podrían estar involucrados, así como su entorno. De este modo, se puede relacionar un procedimiento operativo a un tipo particular de incidente o producto (firewalls, bases de datos, sistemas operativos, aplicaciones) o a un producto específico. Cada procedimiento operativo debería identificar claramente los pasos a seguir y quién debe llevarlos a cabo. Debería reflejar experiencia de fuentes externas (por ejemplo, ERISIS gubernamentales o comerciales o similares, y proveedores) e internas.\nDebería haber procedimientos operativos para ocuparse de los tipos de eventos e incidentes de seguridad de la información que ya se conocen, así como las vulnerabilidades. Debería haber procedimientos operativos a seguirse cuando un evento, incidente o vulnerabilidad\nNTP-ISO/IEC 27035 30 de 123\nde seguridad de la información que se ha identificado no es de ningún tipo conocido. En este caso, se debería resolver lo siguiente:\na) el proceso de reporte para manejar dichas excepciones,\nb) guía sobre la oportunidad de recibir aprobación de la gerencia para evitar\ncualquier demora en la respuesta, y\nc) delegación pre-autorizada de toma de decisiones sin el proceso normal de\nEl ERISI desempeña un papel crucial para la seguridad de la información general de una organización. El ERISI requiere la colaboración de todo el personal de la organización para detectar, resolver e investigar los incidentes de seguridad de la información. Es fundamental que el ERISI tenga la confianza de todos tanto internamente como externamente. La adopción de la anonimidad con respecto a reportar vulnerabilidades, eventos e incidentes de seguridad de la información puede ser útil para construir la confianza.\nUna organización debería asegurar que su esquema de gestión de incidentes de seguridad de la información se ocupe de situaciones donde es importante asegurar la anonimidad de la persona o la parte que reporta los incidentes o vulnerabilidades potenciales de seguridad de la información en ciertas circunstancias específicas. Cada organización debería tener disposiciones que ilustren claramente la expectativa de anonimidad, o carencia de la misma, para las personas o partes que reportan un incidente o vulnerabilidad potencial de seguridad de la información. El ERISI puede requerir obtener información adicional no transmitida inicialmente por la persona o parte que reporta el incidente. Además, la persona que detecta primero el incidente o vulnerabilidad mismos puede derivar información importante acerca del incidente o vulnerabilidad de seguridad de la información.\nOtro enfoque que ERISI puede adoptar es conquistar la confianza de los usuarios a través de la transparencia y de procesos más maduros. El ERISI debería trabajar para educar a los usuarios, explicar cómo funciona el ERISI, cómo protege la confidencialidad de la información recolectada y cómo maneja los reportes de eventos, incidentes y vulnerabilidades por parte de los usuarios.\nNTP-ISO/IEC 27035 31 de 123\nEl ERISI debería ser capaz de satisfacer eficientemente las necesidades funcionales, financieras, legales y políticas de la organización y ser capaz de ejercer la discreción operativa cuando maneja incidentes y vulnerabilidades de seguridad de la información. La función del ERISI también debería estar auditada independientemente para confirmar que todos los requisitos de negocio se cumplan eficazmente.\nAdemás, una buena manera de lograr otro aspecto de la independencia es separar la cadena\nde reportes de incidentes y vulnerabilidades de la gestión de la línea operativa y hacer que\nun alto gerente sea directamente responsable de manejar las respuestas a incidentes y\nvulnerabilidades. También se debe segregar las finanzas de la capacidad para evitar influencia indebida.\nUn esquema de gestión de incidentes de seguridad de la información puede contener\ninformación sensible y las personas involucradas en resolver los incidentes y vulnerabilidades pueden tener que manejar información sensible. Una organización debería asegurar que se establezca los procesos necesarios para anonimizar la información sensible\ny exigir que el personal que tiene acceso a información sensible firme contratos de\nconfidencialidad. Si se registra los eventos / incidentes / vulnerabilidades de seguridad de\nla información por medio de un sistema generalizado de gestión de problemas, quizás se\ntenga que omitir detalles sensibles. Adicionalmente, una organización debería asegurar que\nel esquema de gestión de incidentes de seguridad de la información haga provisiones para\ncontrolar la comunicación de incidentes y vulnerabilidades a terceros externos, incluyendo los medios de comunicación masiva, los socios del negocio, los clientes, las organizaciones\naplicación de la ley y el público en general.\nEstablecimiento del ERISI\nEl objetivo de establecer el ERISI es proveer a la organización de una capacidad apropiada\npara evaluar, responder a y aprender de los incidentes de seguridad de la información y proveer la coordinación, gestión, retroalimentación y comunicación necesarias. Un ERISI contribuye a la reducción del daño físico y monetario, así como a la reducción del daño a la\nreputación de la organización que a veces se asocia con los incidentes de seguridad de la información.\nNTP-ISO/IEC 27035 32 de 123\n5.5.2 Miembros y estructura\nEl tamaño, la estructura y la composición de un ERISI deberían ser apropiados para el tamaño, la estructura y la naturaleza del negocio de la organización. Aunque el ERISI puede constituir un equipo o departamento aislado, los miembros pueden compartir otros deberes que alientan a que los miembros de muchas áreas dentro de la organización proporcionen insumos. Una organización debería evaluar si requiere un equipo dedicado, un equipo virtual o una combinación de ambos. El número de incidentes y las actividades realizadas por el ERISI deberían guiar a la organización en esta elección.\nEl ERISI atraviesa distintas etapas de madurez y a menudo se adoptan ajustes al modelo organizativo en base al escenario específico que la organización enfrenta. Siempre que se justifique, se recomienda tener un quipo permanente liderado por un alto gerente. Los equipos virtuales de ERISI pueden estar liderados por un alto gerente. El alto gerente debería ser apoyado por individuos que se especializan en temas particulares, por ejemplo, en manejar ataques de código malicioso, a los que se llama dependiendo del tipo del incidente de seguridad de la información en cuestión. Dependiendo del tamaño, estructura y naturaleza del negocio de una organización, un miembro también puede desempeñar más de un papel dentro del ERISI. El ERISI puede comprender individuos de diferentes partes de la organización (por ejemplo, operaciones de negocios, TIC, auditoría, recursos humanos y marketing). Esto también se aplica a los ERISI permanentes, incluso en el caso de personal dedicado, el ERISI siempre requiere apoyo de otros departamentos.\nLos miembros del equipo deberían estar accesibles para el contacto de tal manera que los nombres y los detalles de contacto de cada miembro y de sus miembros de respaldo estén disponibles dentro de la organización. Se debe indicar claramente los detalles necesarios en la documentación del esquema de gestión de incidentes de seguridad de la información, incluyendo cualquier documento de procedimiento y los formularios de reporte, pero no en las declaraciones de política.\nEl gerente del ERISI debería normalmente tener una línea de reporte separada de la alta gerencia, separada de las operaciones normales del negocio. Él / ella deberían tener autoridad delegada para tomar decisiones inmediatas sobre cómo tratar un incidente y debería asegurar que todos los miembros del ERISI tengan los niveles de conocimiento y habilidades requeridos y que éstos continúen manteniéndose. El gerente del ERISI debería asignar la investigación de cada incidente al miembro más apropiado de su equipo y cada incidente debería estar asignado a un gerente con nombre propio.\nNTP-ISO/IEC 27035 33 de 123\n5.5.3 Relación con otras partes de la organización\nEl ERISI debería tener la responsabilidad de asegurar que se resuelvan los incidentes y en este contexto el gerente del ERISI y los miembros de su equipo deberían tener un grado de autoridad como para tomar las acciones necesarias que se consideren apropiadas para responder a los incidentes de seguridad de la información. Sin embargo, se debería acordar con la alta gerencia las acciones que pueden tener efectos adversos en toda la organización, ya sea financieramente o en términos de reputación. Por esta razón, es esencial que la política y el esquema de gestión de incidentes de seguridad de la información detalle a qué autoridad apropiada reporta el gerente del ERISI los incidentes serios de seguridad de la información. Se debe acordar con la alta gerencia y documentar los procedimientos y responsabilidades para tratar con los medios de comunicación masiva. Estos procedimientos deben especificar quién se ocupa en la organización de las consultas de los medios y cómo esa parte de la organización interactúa con el ERISI.\n5.5.4 Relaciones con partes interesadas externas\nLas organizaciones deberían establecer relaciones entre ERISI y las partes interesadas externas apropiadas. Las partes interesadas externas pueden incluir los siguientes:\na) personal de apoyo externo contratado,\nb) ERISI de organizaciones externas,\nservicios de telecomunicaciones, ISP y proveedores,\nd) organizaciones de aplicación de la ley,\ne) autoridades de emergencia,\nf) organizaciones del gobierno apropiadas,\ng) personal legal,\nh) funcionarios de relaciones públicas y / o miembros de los medios de\nNTP-ISO/IEC 27035 34 de 123\ni) socios de negocios,\nj) clientes, y\nk) público en general.\n5.6 Apoyo técnico y de otro tipo (incluyendo apoyo operativo)\nPara asegurar que se pueda lograr dar respuestas rápidas y eficaces a los incidentes de seguridad de la información, una organización debe adquirir, preparar y probar todos los medios necesarios de apoyo técnico y de otro tipo. Esto incluye lo siguiente:\na) acceso a los detalles de los activos de la organización con un registro e\ninformación actualizados sobre sus vínculos con las funciones del negocio,\nb) acceso a los procedimientos y documentos relacionados al manejo de crisis,\nc) procesos de comunicación documentados y promulgados,\nd) el uso de una base de datos de eventos / incidentes / vulnerabilidades de\nseguridad de la información y los medios técnicos para poblar y actualizar rápidamente la base de datos, analizar su información y facilitar respuestas (en algunas instancias una organización puede requerir registros manuales), manteniendo segura la base de datos de manera comprobable,\nf) arreglos adecuados para la gestión de crisis en la base de datos de eventos /\nincidentes / vulnerabilidades de seguridad de la información (para consultar una guía sobre gestión de la continuidad del negocio, véase ISO / IEC 27031).\nUna organización debe asegurar que los medios técnicos utilizados para poblar y actualizar rápidamente la base de datos, analizar su información y facilitar respuestas a los incidentes de seguridad de la información apoyen lo siguiente:\ng) adquisición rápida de reporte de eventos / incidentes / vulnerabilidades de\nh) notificación al personal previamente seleccionado por medios apropiados\n(por ejemplo, correo electrónico, fax o teléfono) requiriendo de este modo el\nNTP-ISO/IEC 27035 35 de 123\nmantenimiento de una base de datos de contacto confiable e inmediatamente accesible (incluyendo el papel y otros medios de respaldo), y la facilidad de transmitir información a individuos de una manera segura cuando sea apropiado,\ni) tomar precauciones que correspondan a los riesgos evaluados para asegurar\nque la comunicación electrónica, ya sea por Internet o no, no pueda observarse sin autorización y siga estando disponible mientras que el sistema, servicio y / o red esté bajo ataque (esto puede requerir mecanismos de comunicación alternativos pre-\nj) asegurar la recolección de todos los datos sobre el sistema, servicio y / o red\nde información, y todos los datos procesados,\nk) usar control de integridad criptográfica para ayudar a determinar si se ha\ncambiado algunas partes del sistema, servicio y / o red y cuáles, si corresponde, son los riesgos evaluados,\nl) facilitar el archivamiento y aseguramiento de información recolectada (por\nejemplo, aplicando firmas digitales a los registros y otra evidencia antes del almacenamiento fuera de línea en medios sólo de lectura como CD o DVD ROM),\nm) habilitar la preparación de impresiones (por ejemplo, de registros),\nincluyendo los que muestran el progreso de un incidente y el proceso de resolución y\nn) recuperación del sistema, servicio y / o red de información a la operación\nnormal, con los siguientes procedimientos que están en línea con el manejo relevante de la crisis:\npruebas de respaldo,\ncontrol de código malicioso,\nmedios originales con software de sistema y de aplicación,\nmedios ejecutables, y\nCada vez es más común que las organizaciones creen una imagen de línea de base estándar de los medios de instalación y utilicen esa imagen como la\nNTP-ISO/IEC 27035 36 de 123\nbase limpia para crear sistemas. Utilizar una imagen así en vez de los medios originales a veces es preferible porque la imagen ya se ha parchado, fortalecido, probado, etc.\nUn sistema, servicio o red de información atacados pueden no funcionar correctamente. Así, en la medida en que sea posible, ningún medio técnico (software y hardware) necesario para responder a un incidente de seguridad de la información debería basarse en sus operaciones en los sistemas, servicios y / o redes ‘regulares’ de la organización, de manera proporcional a los riesgos evaluados. Se debe seleccionar cuidadosamente todos los medios técnicos, implementados y comprobados regularmente de manera correcta (incluyendo pruebas a los respaldos realizados). Si es posible, los medios técnicos deben ser plenamente independientes.\nNOTA: Los medios técnicos descritos en este apartado no incluyen medios técnicos utilizados para detectar incidentes e intrusiones de seguridad de la información directamente y para notificar automáticamente a las personas apropiadas. Dichos medios técnicos se describen en ISO / IEC 18043.\nA la vez que el PdC de la organización tiene un papel permanente mucho más amplio en la\norganización para proporcionar apoyo a todos los aspectos de TI y manipulación de la información relacionada, tiene un papel clave que desempeñar en la gestión de incidentes de seguridad de la información. Cuando se reporta por primera vez los eventos de seguridad de la información, el PdC se ocupa de ellos en la fase de detección y reporte. El PdC debe revisar la información reunida y hacer la evaluación inicial respecto de si los eventos deberían clasificarse como incidentes o no. Si el evento no se clasifica como un incidente, el PdC debe tratarlo de acuerdo con esto. Si un evento se clasifica como un incidente el PdC mismo puede ocuparse de él, aunque se espera que en la mayoría de los casos la responsabilidad de tratar el incidente tenga que ser entregada al ERISI. No se espera que el personal del PdC sea experto en seguridad.\n5.7 Concientización y capacitación\nLa gestión de incidentes de seguridad de la información es un proceso que involucra no sólo medios técnicos sino también personas. De este modo, debe estar apoyada por\nindividuos apropiadamente conscientes de la seguridad de la información y capacitados en\nla misma dentro de la organización.\nLa consciencia y participación de todo el personal de la organización es crucial para el éxito de un enfoque estructurado de gestión de incidentes de seguridad de la información.\nNTP-ISO/IEC 27035 37 de 123\nMientras que se debe exigir a los usuarios que participen, probablemente no participarán tan eficazmente en esta operación si no son conscientes de cómo ellos y su departamento pueden beneficiarse de participar en un enfoque estructurado de la gestión de incidentes de seguridad de la información. Además, la eficiencia operativa y la calidad de un enfoque estructurado de la gestión de incidentes de seguridad de la información se basan en una serie de factores, incluyendo la obligación de notificar incidentes, la calidad de la notificación, la facilidad de la utilización, la velocidad y la capacitación. Algunos de estos factores se relacionan a asegurarse de que los usuarios sean conscientes del valor de la gestión de incidentes de seguridad de la información y estén motivados a reportar incidentes.\nLa organización debería asegurar que el papel de la gestión de incidentes de seguridad de la información se promueva activamente como parte del programa corporativo de concientización y capacitación sobre seguridad de la información. El programa de concientización y el material relacionado al mismo deben estar disponibles a todo el personal, incluyendo los nuevos empleados, los usuarios de terceros y los contratistas, según sea relevante. Debería haber un programa de capacitación específico para el PdC, para los miembros del ERISI, para el personal de seguridad de la información y los administradores específicos, según sea necesario. Cada grupo de personas directamente involucradas con la gestión de incidentes puede requerir diferentes niveles de capacitación, dependiendo del tipo, frecuencia y carácter crítico de la interacción con el esquema de gestión de incidentes de seguridad de la información.\nLas explicaciones sobre concientización de la organización deben abarcar lo siguiente:\na) beneficios a ser derivados del enfoque estructurado de la de gestión de\nincidentes de seguridad de la información, tanto para la organización como para su\nb) cómo funciona el esquema de gestión de incidentes de seguridad de la\ninformación, incluyendo su alcance y el flujo de trabajo de gestión de eventos, incidentes y vulnerabilidades de seguridad,\nc) cómo reportar sobre eventos, incidentes y vulnerabilidades de información\nd) información retenida del incidente y resultados de la base de datos de\neventos / incidentes / vulnerabilidades de seguridad de la información,\ne) controles sobre la confidencialidad de las fuentes según sea relevante,\nNTP-ISO/IEC 27035 38 de 123\nf) acuerdos sobre el nivel de servicios del esquema,\ng) notificación de resultados-en qué circunstancias se avisa a las fuentes,\nh) cualquier restricción impuesta por acuerdos de confidencialidad,\ni) la autoridad de la organización de gestión de incidentes de seguridad de la\ninformación y su línea de reporte, y\nj) quién recibe informes del esquema de gestión de incidentes de seguridad de\nla información y cómo se distribuyen los informes.\nEn algunos casos, puede ser deseable que la organización incluya específicamente detalles sobre la consciencia de la gestión de incidentes de seguridad de la información en otros programas de capacitación (por ejemplo, programas de orientación al personal o programas de concientización general sobre seguridad corporativa). Este enfoque de la concientización puede proveer un contexto valioso relevante a grupos particulares de personas y mejora la eficacia y la eficiencia del programa de capacitación.\nAntes de que el esquema de gestión de incidentes de seguridad de la información se convierta en operativo, la organización debería asegurar que todo el personal relevante esté familiarizado con los procedimientos involucrados con la detección y reporte de eventos de seguridad de la información y que haya personal seleccionado con mucho conocimiento respecto de las actividades subsiguientes. Esto debería ser seguido de explicaciones de concientización y cursos de capacitación regulares. La capacitación debería de ser apoyada por ejercicios específicos y pruebas el PdC y los miembros del ERISI, así como para el personal de seguridad de la información y para administradores específicos.\nAdemás, los programas de concientización y capacitación deben complementarse por el establecimiento y operaciones de apoyo de línea dedicada del personal de gestión de incidentes de seguridad de la información, para minimizar las demoras en el reporte y manipulación de eventos, incidentes y vulnerabilidades de seguridad de la información.\n5.8 Pruebas del esquema\nLa organización debe programar verificaciones y pruebas regulares de los procesos y procedimientos de gestión de incidentes de seguridad de la información para destacar las fallas y problemas potenciales que pueden surgir durante el manejo de eventos, incidentes\nNTP-ISO/IEC 27035 39 de 123\ny vulnerabilidades de seguridad de la información. Se debería organizar pruebas periódicas para verificar procesos / procedimientos y para verificar cómo responde el ERISI a incidentes complejos y severos a través de la simulación de ataques, fallas o faltas realistas. Se debe prestar atención particular a la creación de escenarios simulados, los que deben basarse en nuevas amenazas reales a la seguridad de la información. Las pruebas deben involucrar no solamente al ERISI, sino también a todas las organizaciones internas y externas que participan en la gestión de incidentes de seguridad de la información. Las organizaciones deberían asegurar que cualquier cambio realizado como resultado de revisiones posteriores a las pruebas esté sujeto a una verificación exhaustiva, incluyendo más pruebas antes de aplicar el esquema cambiado.\nRevisión de las actividades clave\nLa primera fase del uso operacional de un esquema de gestión de incidentes de seguridad de la información incluye la detección de, recolección de información asociada con, y reporte sobre ocurrencias de eventos de seguridad de la información y existencia de vulnerabilidades de seguridad de la información por medios humanos o automáticos. La gestión de incidentes de seguridad de la información en la operación comprende tres fases principales: detección y reporte, evaluación y decisión (véase el apartado 7) y respuestas (véase el apartado 8). Estas fases están seguidas por la fase de lecciones aprendidas (véase el apartado 9) donde se identifica y realiza las mejoras. Estas fases y sus actividades asociadas se introdujeron en el apartado 4.5.\nLos siguientes apartados tratan predominantemente sobre la manipulación de eventos e incidentes de seguridad de la información. La organización debe asegurar que el personal apropiado se ocupe de las vulnerabilidades reportadas de seguridad de la información de manera similar a la que se manipulan las faltas de seguridad no pertenecientes a la información, posiblemente con evaluación y resolución utilizando al personal técnico (que puede o ser miembro del ERISI). La información sobre vulnerabilidades y sus resoluciones debe ingresarse en la base de datos de eventos / incidentes / vulnerabilidades de seguridad de la información manejada por el ERISI. El Anexo D muestra una plantilla como ejemplo del formulario de reporte de vulnerabilidades de seguridad de la información.\nLa figura 3 muestra todas las fases operativas y actividades relacionadas:\nNTP-ISO/IEC 27035 40 de 123\nFIGURA 3 – Diagrama de flujo de eventos e incidentes de seguridad de la información\nNTP-ISO/IEC 27035 41 de 123\nNOTA: La falsa alarma es una indicación de un evento no deseado, pero se descubre que no es real ni tiene consecuencias.\nLa primera fase del uso operativo de un esquema de gestión de incidentes de seguridad de la información incluye la detección de, recolección de información asociada con y reporte sobre ocurrencias de eventos de seguridad de la información por medios humanos o automáticos. La organización debe asegurar que esta fase incluye la detección de vulnerabilidades de seguridad de la información que todavía no se han explotado causando eventos de seguridad de la información y posiblemente incidentes de seguridad de la información, y el reporte sobre los mismos.\nPara la fase de detección y reporte, una organización debe asegurar que las siguientes sean actividades clave:\na) Actividad para detectar y reportar la ocurrencia de un evento de seguridad\nde la información o la existencia de una vulnerabilidad de seguridad de la\ninformación ya sea por uno de los miembros del personal / clientes de la organización o automáticamente, asistidos por los siguientes:\n1) alertas de los sistemas de monitoreo de seguridad como IDS / IDP, programa antivirus, “honeypots” [tarros de miel] (término genérico para un sistema de señuelo utilizado para engañar, distraer, desviar y alentar al atacante a pasar tiempo en información que parece muy valiosa pero que en realidad está fabricada y que no sería de interés a un usuario legítimo[ISO/IEC 18043:2006]) /“tarpits” [pozos de brea] (sistemas que se exponen y diseñan intencionalmente para demorar los ataques), sistemas de monitoreo de registros, sistemas de gestión de seguridad de la información, motores de correlación y otros,\n2) alertas de sistemas de monitoreo de la red tales como firewalls, análisis de flujos de red, filtrado de web y otros,\n3) análisis de información del registro desde dispositivos, servicios, sistemas anfitriones y otros diversos sistemas,\nescalamiento de eventos anómalos detectados por TIC,\nescalamiento de eventos anómalos detectados por escritorios de\nreportes de usuarios, y\nNTP-ISO/IEC 27035 42 de 123\n7) notificaciones externas provenientes de terceros como otros ERISI, servicios de seguridad de la información, proveedores de servicios de Internet, proveedores de servicios de telecomunicación, compañías tercerizadas o ERISI nacionales.\nb) Actividad para recolectar información sobre un evento o vulnerabilidad de\nc) Actividad para asegurar que todos los involucrados en el PdC registren\napropiadamente todas las actividades, resultados y decisiones relacionadas para\nd) Actividad para asegurar que se reúne evidencia electrónica y se la almacena\nde manera segura, y que su preservación segura se monitorea frecuentemente, en caso esto se requiera para un proceso legal o una acción disciplinaria interna.\nNOTA: Una Norma Internacional futura (ISO/IEC 27037) proveerá información más detallada sobre la identificación, recolección, adquisición y preservación de evidencia digital.\ne) Actividad para asegurar que el régimen de control de cambios se mantiene\ncubriendo el rastreo de eventos y vulnerabilidades de seguridad de la información y las actualizaciones de los reportes sobre eventos y vulnerabilidades y que, de esta manera, la base de datos de eventos / incidentes / vulnerabilidades de seguridad de la información se mantiene al día.\nf) Actividad para llevar a un nivel superior, según se requiera durante la fase,\npara una revisión y / o decisiones posteriores.\ng) Actividad para registrar un Sistema de Rastreo de Incidentes.\nToda la información recolectada perteneciente a un evento o vulnerabilidad de seguridad de la información debe almacenarse en la base de datos de eventos / incidentes / vulnerabilidades de seguridad de la información que maneja el ERISI. La información reportada durante cada actividad debe ser tan completa como sea posible en el momento para asegurar que haya una buena base disponible para las evaluaciones y las decisiones que se deben tomar, y por supuesto de las acciones tomadas.\n6.2 Detección del evento\nLos eventos de seguridad de la información pueden ser detectados directamente por una persona o grupo de personas que noten algo que cause preocupación, ya sea relacionado\nNTP-ISO/IEC 27035 43 de 123\ncon aspectos, físicos o de procedimiento. La detección puede ser, por ejemplo, por alarmas de los detectores de fuego / humo o de intrusos (ladrones), y las alertas se notifican en lugares designados de antemano para la acción humana. Los eventos de seguridad de la información técnica pueden detectarse por medios automáticos, por ejemplo, alertas de las instalaciones de análisis del rastro de auditorías, firewalls, sistemas de detección de intrusiones, y herramientas contra código (incluyendo virus), en cada caso estimulados por parámetros pre-establecidos.\nLas posibles fuentes de detección de eventos de seguridad de la información incluyen las siguientes:\nb) gerentes de línea y gerentes de seguridad,\nd) departamento de TI, incluyendo Centro de Operaciones de la Red y Centro\nde Operaciones de Seguridad (hasta el segundo nivel de apoyo),\ne) escritorio de ayuda de TI (hasta el nivel uno de apoyo),\nf) proveedores de servicios administrados (incluyendo proveedores de\nservicios de Internet, proveedores de servicios de telecomunicaciones y otros\nh) otras unidades y personal que puede detectar anomalías durante su trabajo\ni) medios de comunicación masiva (periódicos, televisión, etc.), y\nj) páginas web (páginas web públicas de información de seguridad, páginas\nweb de investigadores de seguridad, archivos de desfiguración de páginas web, etc.).\nNTP-ISO/IEC 27035 44 de 123\n6.3 Reporte de eventos\nCualquiera que fuera la fuente de la detección de un evento de seguridad de la información, la persona notificada por medios automáticos, o que nota directamente algo inusual, es responsable de iniciar el proceso de detección y reporte. Esta persona podría ser cualquier miembro del personal de una organización, ya sea personal permanente o contratado.\nLa persona debe seguir los procedimientos y utilizar el formulario de reporte de eventos de seguridad de la información especificado por el esquema de gestión de incidentes de seguridad de la información para hacer que el evento de seguridad de la información sea conocido por el PdC y la gerencia. De manera correspondiente, es esencial que todo el personal esté muy consciente de y tenga acceso a los lineamientos para reportar los distintos tipos de posibles eventos de seguridad de la información. Esto incluye el formato del formulario de reporte de eventos de seguridad de la información y detalles del personal que debe ser notificado en cada ocasión (todo el personal debería al menos ser consciente del formato del formulario de reporte de incidentes de seguridad de la información para ayudar a su comprensión del esquema). Debe notarse que no se consideran seguros los teléfonos fijos, inalámbricos y celulares sin una salvaguarda contra las intercepciones. Cuando se trata con información altamente confidencial o secreta, se debe tomar salvaguardas adicionales.\nLa información siguiente puede utilizarse como base para un formulario del sistema de rastreo de incidentes:\n- Tiempo / fecha para la detección,\n- Observaciones, e\n- Información de contacto (opcional)\nEl formulario lleno y entregado (ya sea en papel o en un correo electrónico o un formulario de página web) debe ser utilizado por el personal del ERISI sólo cuando registran incidentes de seguridad de la información en el Sistema de Rastreo de Incidentes. Es más importante obtener conocimientos / informes de un evento de seguridad de la información del que se sospecha / el que se experimenta / el que se detecta que el tener toda la información completa.\nNTP-ISO/IEC 27035 45 de 123\nSiempre que sea posible, una aplicación automatizada debe ser el soporte del rastreo de eventos (posiblemente incidentes) de seguridad de la información. El uso de un sistema de información es esencial para forzar al personal a seguir procedimientos y listas de verificación establecidos. También es algo extremadamente útil para ayudar a rastrear “quién hizo qué y cuándo”, detalles que podrían olvidarse por error durante un evento de seguridad de la información (posiblemente incidente de seguridad de la información).\nCómo se maneja un evento de seguridad de la información depende de qué es y de las implicaciones y repercusiones que puedan derivarse del mismo. Para mucha gente, ésta será una decisión que está más allá de su competencia. De esta manera, la persona que reporta un evento de seguridad de la información debería llenar el formulario de reporte de eventos de seguridad de la información con tanto detalle y tanta información como le resulte inmediatamente disponible en el momento, enlazándose con su gerente local si es necesario. Ese formulario debe ser comunicado de manera segura al PdC designado, con una copia al responsable del ERISI. El PdC debe de preferencia proveer un servicio de 24 horas al día por 7 días de la semana. El Anexo D muestra una plantilla como ejemplo de formulario de reporte de eventos de seguridad de la información.\nEl ERISI debe nombrar a un miembro del equipo o a un delegado por turno para que sea\nresponsable de todos los informes en trámites vía correo electrónico, teléfono, fax, formularios y conversación directa. Esta responsabilidad puede rotar entre los miembros del equipo semanalmente. El miembro del equipo nombrado realiza la evaluación y toma acciones apropiadas para informar a las partes responsables e involucradas así como para\nresolver el incidente de seguridad de la información.\nSe enfatiza que no sólo es importante la exactitud sino también la oportunidad en el contenido que se llena en el formulario de reporte de eventos de seguridad de la\ninformación. No es una buena práctica demorar la entrega de un formulario de reporte para mejorar la exactitud de su contenido. Si la persona que reporta no está segura de los datos\ncualquier campo del formulario de reporte, debe entregarlo con una anotación apropiada\nlas revisiones deben comunicarse posteriormente. También debe reconocerse que\nalgunos mecanismos de reporte (por ejemplo, correo electrónico) son en sí mismos blancos\nvisibles para el ataque.\nCuando existen problemas, o se considera que existen, con los mecanismos de reporte electrónico (por ejemplo, correo electrónico) se debe usar medios de comunicación alternativos. Esto incluye cuando se piensa que es posible que el sistema esté bajo ataque y que hay personas no autorizadas que podrían leer los formularios de reporte electrónico. Los medios alternativos podrían incluir: en persona, por teléfono o por mensajes de texto. Dichos medios alternativos deben usarse particularmente cuando es evidente al inicio de una investigación que un evento de seguridad de la información parece probablemente\nNTP-ISO/IEC 27035 46 de 123\nclasificable como un incidente de seguridad de la información, particularmente uno que puede ser importante.\nAunque en muchos casos, un evento de seguridad de la información tiene que reportarse en adelante para que el PdC actúe, puede haber ocasiones donde un evento de seguridad de la información se maneje localmente, posiblemente con ayuda de la gerencia local. Es aconsejable que la gerencia local esté capacitada para hacer la misma evaluación que el ERISI y tomar contramedidas similares / iguales así como utilizar el mismo sistema de rastreo de incidentes, para utilizar con éxito los recursos localmente. Esto evitará que el ERISI haga doble trabajo.\nSe puede determinar rápidamente que un evento de seguridad de la información es una falsa alarma, o puede resolverse hacia una conclusión satisfactoria. En dicho caso se debe llenar y enviar un formulario de reporte a la gerencia local, al PdC y al ERISI para propósitos de registro en la base de datos de eventos / incidentes / vulnerabilidades de seguridad de la información. En dicha circunstancia, la persona que reporta el cierre de un evento de seguridad de la información puede ser capaz de llenar parte de la información requerida para el formulario de reporte de incidentes de seguridad de la información. Si éste es el caso, entonces el formulario de reporte de incidentes de seguridad de la información también debe llenarse y enviarse. El uso de herramientas automáticas puede asistir con el llenado de algunos campos, por ejemplo, sellos de tiempos. También puede ayudar con compartir y transferir información necesaria.\nFASE DE EVALUACIÓN Y DECISIONES\nLa segunda fase del uso operativo de un esquema de gestión de incidentes de seguridad de la información incluye la evaluación de información asociada con ocurrencias de eventos de seguridad de la información y la decisión sobre si se trata de un incidente de seguridad de la información. Para la fase de evaluación y toma de decisiones, una organización debe asegurar que las actividades clave son las siguientes:\na) Actividad para el PdC, quien conduce la evaluación para determinar si el\nevento es un incidente de seguridad de la información posible o que ha concluido o una falsa alarma, y si no es una falsa alarma, si se requiere escalamiento. Las\nNTP-ISO/IEC 27035 47 de 123\nevaluaciones deben incluir el uso de la escala acordada de clasificación de eventos / incidentes de seguridad de la información (incluyendo la determinación de los impactos de eventos basados en los impactos de eventos respecto de los activos / servicios afectados) y debe decidir si los eventos deberían clasificarse como incidentes de seguridad de la información (véase Anexo C para obtener lineamientos como ejemplo). Mientras determinan los impactos de los eventos de seguridad de la información (y, de este modo, los posibles incidentes) en términos de los efectos de las rupturas de confidencialidad, integridad y disponibilidad, las organizaciones deben asegurar que se identifique lo siguiente:\ndominio del impacto (físico o lógico),\naplicaciones afectadas o que vayan a ser afectadas, y\nposibles efectos en los servicios medulares de la organización.\nb) Actividad que realiza el ERISI para conducir la evaluación que confirme los\nresultados de la evaluación del PdC respecto a si el evento es un incidente de seguridad de la información o no, si se aplica. Según sea necesario, se debe conducir otra evaluación utilizando la escala acordada de clasificación de eventos / incidentes de seguridad de la información, con detalles del tipo de eventos (posiblemente incidentes) y del recurso afectado (categorización) (véase el Anexo C para lineamientos como ejemplo). Esto debe ser seguido de decisiones sobre cómo debe tratarse el incidente confirmado de seguridad de la información, quién debe tratarlo y con qué prioridad. Debe involucrar el proceso predeterminado de priorización para permitir un enfoque claro sobre asignar cada incidente de seguridad de la información a personas convenientes y determinar la urgencia del manejo y las respuestas a los incidentes de seguridad de la información, incluyendo si se requiere una respuesta inmediata, análisis forense de seguridad de la información y actividades de comunicación, en la siguiente fase (Respuestas – véase el apartado 8).\nc) Actividad para llevar el asunto a un nivel superior, sobre la base de\nnecesidades a lo largo de las fases para evaluaciones y / o decisiones adicionales.\nd) Actividad para asegurar que todos los involucrados, particularmente en el\nERISI, registren apropiadamente todas las actividades para su análisis posterior.\ne) Actividad para asegurar que se reúne y almacena de manera segura la\nevidencia electrónica y que su presencia segura se monitorea continuamente, en caso\nse requiera para un proceso legal o acción disciplinaria interna.\nNTP-ISO/IEC 27035 48 de 123\nf) Actividad para asegurar que el régimen de control de cambios se mantiene\ncubriendo el rastreo de los incidentes de seguridad de la información y las actualizaciones de reportes de incidentes y, de este modo, que se mantenga al día la\nbase de datos de eventos / incidentes / vulnerabilidades de seguridad de la información.\nToda la información recolectada que pertenece a un evento, incidente o vulnerabilidad de seguridad de la información debe almacenarse en la base de datos de eventos / incidentes / vulnerabilidades de seguridad de la información administrada por ERISI. La información reportada durante cada actividad debe ser tan completa como sea posible en el momento para asegurar que haya una buena base disponible para las evaluaciones y decisiones que se realicen y, por supuesto, las acciones que se tomen.\nUna vez que se ha detectado y reportado un evento de seguridad de la información, las actividades posteriores son las siguientes.\ng) Actividad para distribuir la responsabilidad respecto de las actividades de\ngestión de incidentes de seguridad de la información a través de una jerarquía apropiada de personal, con evaluación, toma de decisiones y acciones que incluyen tanto al personal de seguridad como al personal no dedicado a la seguridad.\nh) Actividad para proveer procedimientos formales para que cada persona notificada los siga, incluyendo la revisión y modificación del reporte realizado, evaluación del daño, y notificación del personal relevante. Las acciones individuales dependen del tipo y de la severidad del incidente.\ni) Actividad para usar lineamientos para una documentación exhaustiva del\nj) Actividad para usar lineamientos para una documentación exhaustiva de las\nacciones subsiguientes respecto de si un incidente de seguridad de la información se clasifica como un incidente de seguridad de la información.\nk) Actividad para actualizar la base de datos\nvulnerabilidades de seguridad de la información.\nde eventos /\nLa organización debe asegurar que esta fase incluya la evaluación de la información reunida sobre las vulnerabilidades reportadas de seguridad de la información que todavía no han sido explotadas para causar eventos de seguridad de la información y posiblemente incidentes de seguridad de la información. Debe tratarse las decisiones que se tomó, quién las tomó y con qué prioridad.\nNTP-ISO/IEC 27035 49 de 123\n7.2 Evaluación y decisión inicial de PdC\nLa persona de recepción en el PdC debe acusar recibo del formulario llenado de reporte de eventos de seguridad de la información, ingresarlo en la base de datos de eventos / incidentes / vulnerabilidades de seguridad de la información y revisarlo. Dicha persona debe buscar cualquier aclaración de la persona que reporta el evento de seguridad de la información y recolectar cualquier información adicional requerida y que se sabe está disponible, ya sea de la persona que reporta o de cualquier otro lugar. Entonces, el PdC debe conducir una evaluación para determinar si el evento de seguridad de la información debe clasificarse como un incidente de seguridad de la información o si es, de hecho, una falsa alarma (incluyendo el uso de la escala acordada de clasificación de incidentes de la organización). Si se determina que el evento de seguridad de la información es una falsa alarma, el formulario de reportes de eventos de seguridad de la información debe llenarse y comunicarse al ERISI para añadirlo a la base de datos de eventos / incidentes / vulnerabilidades y revisar y copiar a la persona que reporta y a su gerente local.\nLa información y otra evidencia recolectada en esta etapa pueden tener que utilizarse en el futuro para procedimientos disciplinarios o judiciales. La persona o personas que se ocupan de las tareas de recolección y evaluación deben estar capacitadas respecto de los requisitos para la recolección y preservación de evidencia.\nAdemás de registrar la(s) fecha(s) y la(s) hora(s) de las acciones, es necesario documentar plenamente lo siguiente:\na) lo que se vio e hizo (incluyendo las herramientas utilizadas) y por qué,\nb) la ubicación de la evidencia potencial,\nc) cómo está archivada la evidencia (si es aplicable),\nd) cómo se realizó la verificación de la evidencia (si es aplicable), y\ne) los detalles de la custodia de almacenamiento / seguro del material y el\nacceso posterior al mismo.\nSi se determina que el evento de seguridad de la información es probablemente un incidente de seguridad de la información y si la persona del PdC tiene el nivel apropiado de competencia, se puede conducir más evaluaciones. Esto puede requerir acciones de\nNTP-ISO/IEC 27035 50 de 123\nsolución, por ejemplo, identificar controles adicionales de emergencia y referir el tema a la persona apropiada para que tome acción. Puede ser evidente que se determine que un evento de seguridad de la información sea un incidente de seguridad de la información significativo (utilizando la escala de severidad predeterminada en la organización), en cuyo caso el gerente del ERISI debe ser informado directamente. Puede ser evidente que una situación de crisis deba declararse y, por ejemplo, el gerente de gestión de crisis sea notificado para una posible activación de un plan de gestión de crisis y que se informe al gerente del ERISI y a la alta gerencia. Sin embargo, la situación más probable es que el incidente de seguridad de la información requiera ser referido directamente al ERISI para una evaluación y acción adicionales.\nCualquiera que se determina como el siguiente paso, el PdC debe llenar tanto como sea posible el formulario de reporte de incidentes de seguridad de la información. El formulario de reporte de incidentes de seguridad de la información debe contener una narración de los hechos y tanto como sea posible debe confirmar y describir lo siguiente:\na) qué es el incidente de seguridad de la información,\nb) cómo, qué o quién lo causó,\nc) a qué afecta o podría afectar,\ninformación en el negocio de la organización,\ne) una indicación respecto de si el incidente de seguridad de la información se\nconsidera significativo o no (utilizando la escala predeterminada de clasificación de la organización), y\nf) cómo se ha tratado hasta el momento.\nCuando se considera los efectos adversos potenciales o reales de un incidente de seguridad de la información sobre el negocio de una organización, los siguientes son algunos ejemplos:\na) divulgación no autorizada de la información,\nb) modificación no autorizada de la información,\nNTP-ISO/IEC 27035 51 de 123\nc) repudio de la información,\nd) no disponibilidad de la información y / o del servicio,\ne) destrucción de la información y / o del servicio, y\nf) desempeño reducido del servicio.\nEl primer paso es considerar cuál consecuencia es relevante dentro de una serie de consecuencias. Para aquellas que se considera relevante, se debe utilizar el lineamiento de la categoría relacionada para establecer los impactos potenciales o reales de modo que se los ingrese en el reporte de incidentes de seguridad de la información. En el Anexo C se encuentran los lineamientos como ejemplo. Algunos ejemplos de categorías son los siguientes:\na) pérdida financiera / interrupción de las operaciones de negocios,\nb) intereses comerciales y económicos,\nc) información personal,\nd) obligaciones legales y regulatorias,\ne) operaciones de la gerencia y del negocio,\nf) pérdida de fondos de comercio,\ng) daño o pérdida de vida, y\nh) trastornos sociales.\nSi se ha resuelto un incidente de seguridad de la información, el informe debe incluir detalles de los controles que se ha tomado y sobre cualquier lección aprendida (por ejemplo, los controles a adoptarse para evitar que vuelva a ocurrir o que haya ocurrencias similares). Una vez que se llena tanto como sea posible, el formulario de reporte debe entonces referirse al ERISI para que se ingrese a la base de datos de eventos / incidentes / vulnerabilidades de seguridad de la información y se lo revise.\nNTP-ISO/IEC 27035 52 de 123\nSi una investigación va a ser posiblemente más larga que un periodo definido en la política de gestión de incidentes de seguridad de la información, se debe producir un informe interino dentro de un periodo especificado por la política.\nSe enfatiza que el PdC que evalúa un incidente de seguridad de la información debe ser consciente del mismo, basándose en la guía proporcionada en la documentación del esquema de gestión de incidentes de seguridad de la información. Incluye lo siguiente como ejemplo:\na) cuándo es necesario escalar los asuntos y a quién, y\nb) los procedimientos de control de cambios deben ser seguidos en todas las\nactividades conducidas por el PdC.\nDe manera similar a lo mencionado en los apartados 6.2 y 6.3 anteriores respecto de la detección y reporte de eventos, se debe utilizar medios de comunicación alternativos a los formularios de reportes actualizados cuando existan problemas, o cuando se consideren que existen, con los mecanismos de reporte electrónico (por ejemplo, correo electrónico).\n7.3 Evaluación y confirmación de incidentes por el ERISI\nLa evaluación y la confirmación de la decisión respecto a si un evento de seguridad de la información debe clasificarse como un incidente de seguridad de la información debe ser responsabilidad del ERISI. La persona de recepción en el ERISI debe hacer lo siguiente:\na) Acusar recibo del formulario de reportes de incidentes de seguridad de la\ninformación, llenado tanto como sea posible por el PdC.\nb) Ingresar el formulario en la base de datos de eventos / incidentes /\nvulnerabilidades de seguridad de la información si el PdC no lo hizo y actualizar la\nbase de datos si es necesario.\nc) Buscar aclaraciones por parte del PdC, si es necesario.\nd) Revisar el contenido del formulario de reportes.\nNTP-ISO/IEC 27035 53 de 123\ne) Recolectar cualquier información adicional requerida y que se conozca está\ndisponible, ya sea del PdC, de la persona que llenó el formulario de reportes de\neventos de seguridad de la información o de otro lugar.\nSi sigue habiendo un cierto grado de incertidumbre respecto de la autenticidad del incidente de seguridad de la información o de la exhaustividad de la información reportada, el miembro del ERISI debe conducir una evaluación para determinar si el incidente de seguridad de la información es real o es, de hecho, una falsa alarma a través del uso de la escala acordada de clasificación de incidentes de la organización. Si se determina que el incidente de seguridad de la información es una falsa alarma, se debe llenar el reporte de eventos de seguridad de la información, se debe añadir el reporte a la base de datos de eventos/incidentes/vulnerabilidad de seguridad de la información y comunicarse al gerente del ERISI. Se debe enviar copias del informe al PdC y a la persona que reporta y a su gerente local.\nUn informe de incidentes de seguridad debe correlacionarse con cualquier otro evento/incidente reportado al ERISI. Esta importante actividad debe verificar si el incidente está conectado a cualquier otro evento/incidente o si es simplemente el efecto de otro incidente, por ejemplo en los Ataques de Denegación de Servicio (DoS) y Denegación Distribuida del Servicio (DDoS). La correlación de incidentes también es importante para priorizar los esfuerzos del ERISI.\nSi se determina que el incidente de seguridad de la información es real, el miembro del ERISI y sus colegas, según se requiera, deben conducir una evaluación adicional. El objetivo es confirmar lo siguiente tan pronto como sea posible:\na) Qué es el incidente de seguridad de la información, cómo se causó y qué y\nquién lo causó, qué afecta o podría afectar, el impacto o impacto(s) potencial(es) del incidente de seguridad de la información sobre el negocio de la organización, una indicación de si el incidente de seguridad de la información se considera significativo o no utilizando la escala predeterminada de gravedad que tiene la organización. Si el incidente causa un impacto negativo grave en el negocio, se ha de iniciar actividades de crisis. (Véase el apartado 8.2.4)\nb) Se debe tomar en cuenta los siguientes aspectos para ataque técnico humano\ndeliberado a un sistema, servicio y/o red de información:\n1) cuán profundamente ha sido infiltrado el sistema/servicio y/o red y que nivel de control tiene el atacante,\nNTP-ISO/IEC 27035 54 de 123\nalterados o destruidos,\nqué datos han sido obtenidos por el atacante, posiblemente copiados,\nqué software ha sido copiado, alterado o destruido por el atacante.\nc) Los efectos directos e indirectos (por ejemplo, si el acceso físico queda\nabierto debido a un incendio, si un sistema de información es vulnerable debido a algún mal funcionamiento del software o de las comunicaciones o debido a error\nd) Cómo se ha tratado el incidente de seguridad de la información hasta el\nmomento y quién lo ha tratado.\nCuando se revisa os efectos adversos potenciales o reales de un incidente de seguridad de la información sobre el negocio de una organización de cierta información y/ o servicios mostrados en el apartado 7.2, es necesario confirmar cuál de una serie de consecuencias es relevante. El apartado 7.2 y el Anexo C muestran algunas categorías como ejemplo.\nSe debe utilizar un proceso de priorización para asignar un incidente de seguridad de la información a la persona o grupos de personas más convenientes en el ERISI de modo que den respuesta adecuada al incidente de seguridad de la información. En particular, cuando se trabaja sobre varios incidentes de seguridad de la información a la vez, se debe fijar prioridades para ordenar las respuestas que se debe dar a los incidentes de seguridad de la información.\nSe debe fijar prioridades de acuerdo con los impactos adversos al negocio que se ha determinado que están asociados con el incidente de seguridad de la información y el esfuerzo que se estima necesario para responder al incidente de seguridad de la información. Para los incidentes con la misma prioridad, el esfuerzo requerido es una métrica que determine el orden en el que se tiene que responder para ellos. Por ejemplo, un incidente que se resuelva fácilmente puede tratarse antes de un incidente que requiere un mayor esfuerzo.\nPara aquellos que se consideran relevantes, se debe utilizar el lineamiento de la categoría relacionada para establecer los impactos potenciales o reales de modo que se los ingrese en el reporte de incidentes de seguridad de la información. En los Anexos C y D se proporcionan lineamientos como ejemplo.\nNTP-ISO/IEC 27035 55 de 123\nRevisión de las actividades claves\nLa tercera fase del uso operativo de un esquema de gestión de incidentes de seguridad de la información incluye dar respuestas a los incidentes de seguridad de la información de acuerdo con las acciones acordadas en la fase de evaluación y toma de decisiones. Dependiendo de las decisiones, las respuestas deben darse inmediatamente, en tiempo real o en tiempo casi real y algunas podrían involucrar análisis forense de seguridad de la información.\nPara la fase de respuesta, una organización debe asegurar que las actividades claves sean las siguientes:\na) Actividad de revisión para que el ERISI determine si el incidente de\nseguridad de la información está bajo control, así como las actividades siguientes:\n1) Actividad para desencadenar la respuesta requerida si está bajo control. Ésta podría ser una respuesta inmediata que podría incluir la activación del proceso de recuperación y/o la emisión de comunicaciones al personal involucrado relevante o un tipo de respuesta más lento (por ejemplo, facilitando la plena recuperación de un desastre) a la vez que se asegura que toda la información esté lista luego del incidente.\n2) Actividad para desencadenar las actividades de crisis a través del escalamiento a la función de manejo de crisis, si no está bajo control o si va a tener un impacto grave en los servicios medulares de la organización (véase el apartado 8.2.4). Entonces, la función de manejo de crisis es responsable del incidente, con pleno apoyo del ERISI (incluyendo la activación de un plan de gestión de crisis) involucrando al personal relacionado, por ejemplo al gerente de gestión de crisis de la organización y su equipo (para obtener guía sobre la gestión de continuidad del negocio véase ISO/IEC 27031 y ISO/PAS 22399:2007).\nb) Actividad para asignar recursos internos e identificar recursos externos de\nmanera que se responda a un incidente.\nc) Actividad para conducir análisis forenses de seguridad de la información\nsegún se requiera y relativa al puntaje de la escala de clasificación de incidentes de\nNTP-ISO/IEC 27035 56 de 123\nseguridad de la información y el cambio de ese puntaje de la escala según sea necesario.\nd) Actividad para llevar el asunto a un nivel superior según se requiera a lo\nlargo de la fase, para evaluaciones y/o decisiones adicionales.\ne) Actividad para asegurar que todos los involucrados, particularmente en el\nf) Actividad para asegurar que se regule y almacene de manera probadamente\nsegura la evidencia electrónica y que su preservación segura se monitoree continuamente, en caso se requiera para un proceso legal o acción disciplinaria interna.\ng) Actividad para asegurar que el régimen de control de cambios se mantenga\ncubriendo el rastreo de incidentes de seguridad de la información y las actualizaciones de los reportes de incidentes y, de este modo, que se mantenga al día la base de datos de eventos/incidentes/vulnerabilidades de seguridad de la información.\nh) Actividad para comunicar la existencia del incidente de seguridad de la información o cualquier detalle relevante del mismo a otras personas u organizaciones internas o externas, en particular los encargados de activos/informaciones/servicios (que se determine durante el análisis de impacto) y las organizaciones internas/externas que deben participar en la gestión y resolución del incidente.\nToda la información recolectada perteneciente a un evento, incidente o vulnerabilidad de seguridad de la información debe almacenarse en la base de datos de eventos / incidentes / vulnerabilidades de seguridad de la información manejada por el ERISI, incluyendo su utilización para propósitos de análisis adicionales. La información reportada durante cada actividad debe ser tan completa como sea posible en el momento para asegurar que hay una buena base disponible para las evaluaciones y decisiones a realizarse y, por supuesto, acciones a tomarse.\nUna vez que se ha determinado un incidente de seguridad de la información y se ha acordado las respuestas, las actividades posteriores son las siguientes:\na) Actividad para distribuir la responsabilidad respecto de las actividades de\nmanejo de gestión de incidentes a través de una jerarquía apropiada de personal. La\nNTP-ISO/IEC 27035 57 de 123\ntoma de decisiones y acciones involucran tanto al personal de seguridad como al personal que no se dedica a la seguridad, según sea necesario.\nb) Actividad para proveer procedimientos formales para que cada persona\ninvolucrada los siga, incluyendo la revisión y modificación a los reportes hechos, la\nreevaluación del daño y la notificación al personal relevante. Las acciones individuales dependen del tipo y gravedad del incidente.\nc) Actividad para usar lineamientos para una documentación exhaustiva de un\nincidente de seguridad de la información, de las acciones subsiguientes y para actualizar la base de datos de eventos / incidentes / vulnerabilidades de seguridad de la información.\nd) Actividad para utilizar lineamientos para una documentación exhaustiva de\nlas acciones subsiguientes.\ne) Actividad para actualizar la base de datos\nUna vez que se ha tratado exitosamente un incidente de seguridad de la información se debe cerrar formalmente y esto debe registrarse en la base de datos de gestión de incidentes