Un registro de incidentes es el resumen que mantiene de lo que ocurrió, cuándo, en qué sistema y quién estuvo implicado, desde el momento en que advierte algo anómalo hasta que se resuelve. Para un proveedor de servicios TIC, esto significa en concreto: la hora de la primera notificación, qué sistemas del cliente se vieron afectados, qué empleado o subcontratista tenía acceso en ese momento, qué pasos se tomaron y cuándo la situación volvió a la normalidad.
Este registro no es en sí mismo una obligación legal de notificación — esa obligación se aplica a las organizaciones que caen bajo la Ley de Ciberseguridad por derecho propio, no automáticamente a sus proveedores. Pero un cliente que sí está obligado debe poder evaluar su propia cadena de suministro, y lo hace pidiéndole que demuestre cómo documenta los incidentes de forma verificable. Sin una respuesta ordenada a esa pregunta, a menudo un contrato no llega más allá de la fase inicial.
Por qué esto es particularmente relevante para los proveedores de servicios TIC
Una empresa de instalación o un despacho de asesoría tiene por lo general un único entorno para vigilar: el propio. Un proveedor de servicios TIC trabaja estructuralmente en los sistemas de otros, a menudo de forma remota, a veces con derechos de administración muy amplios. Si algo falla allí, la pregunta no es solo qué sucedió en su empresa, sino también qué se vio afectado en el cliente y si eso puede rastrearse hasta una sesión, una cuenta o un momento de acceso. Los clientes que están obligados por sus propios deberes de diligencia esperan que pueda demostrar esa trazabilidad, incluso si el incidente ocurrió hace meses.
Administración remota: qué documenta
La administración remota implica tres aspectos que deben identificarse por separado: quién inició la sesión, desde qué cuenta o qué puesto de trabajo, y qué se hizo en esa sesión. Muchas herramientas de administración remota registran esto automáticamente, pero lo que importa no es si la herramienta lo registra, sino si puede demostrar esos registros cuando un cliente o un regulador lo solicite. Mantener una lista separada de qué entornos de cliente son accesibles de forma remota y por quién suele ser suficiente para responder esa pregunta sin necesidad de profundizar en la tecnología.
Acceso a sistemas de clientes: concedido, utilizado, revocado
El acceso a un sistema de cliente generalmente no es un estado permanente sino un momento: alguien recibe una cuenta, la utiliza para una tarea y luego se revoca el acceso. Ante un incidente, la primera pregunta a menudo es quién tenía acceso en ese momento, no quién ha tenido acceso alguna vez. Un registro que muestre cuándo se concedió el acceso y cuándo se revocó permite responder esa pregunta de forma rápida y concreta. Si falta ese panorama, tendrá que reconstruirlo en el momento en que ya hay prisa, y ese es precisamente el momento en que resulta más difícil.
Subcontratistas: la cadena no termina en usted
Si trabaja con un subcontratista para parte de la administración, la pregunta no cambia, se amplía. Un cliente que evalúa su trabajo quiere saber si un incidente que surge en su subcontratista también es visible para usted, y no solo se entera después por una llamada telefónica. En la práctica, esto significa que los acuerdos con subcontratistas deben especificar plazos de notificación mutua, y que su propio registro de incidentes debe permitir indicar qué parte de un incidente fue responsabilidad de un tercero. examinado por tema qué es relevante para su situación proporciona un buen punto de partida para ver qué preguntas sobre la cadena de suministro corresponden a su tipo de servicio.
Lo que es y no es un registro
Un registro de incidentes es un acta de constancia, no una respuesta. Se trata de lo que puede demostrar después de que algo se haya resuelto, no de la rapidez con la que responde ni de qué medidas técnicas implementa durante un incidente — esto último es trabajo de equipos de respuesta ante incidentes, SOC y peritos forenses, y es precisamente lo que este artículo y secria.eu no abordan. Lo que sí hacemos es aclarar la visión general: qué medida corresponde a qué prueba, y quién dentro de su organización es responsable de ello. respuestas a preguntas que frecuentemente formulan los proveedores de la cadena de suministro de las PYME muestra dónde está el límite entre dejar constancia y responder realmente.
Dónde lo ubicar
Ya sea que usted mismo esté sujeto a la Ley de Ciberseguridad o sea afectado a través de un cliente, la pregunta sobre registro de incidentes reaparece en prácticamente todo cuestionario de seguridad. Una respuesta ordenada comienza por saber exactamente dónde se sitúa: en un par de preguntas ver si y cómo le afecta lo aclara en unos pocos minutos, sin necesidad de que disponga de una cuenta.
¿Desea saber cómo ese registro se convierte en la práctica en un expediente vivo, con un estado, una prueba y un responsable por cada medida? Realice la verificación NIS2 gratuita o consulte el banco de conocimientos en secria.eu; ambos están disponibles sin cuenta.