Un incidente en el sector de instalaciones no siempre es una computadora pirateada. Con igual frecuencia se trata de un técnico que inicia sesión con una cuenta incorrecta en el sistema de gestión de edificios de un cliente, una caja de llaves que no se cerró correctamente, o un coordinador de planificación que hace clic en un enlace de phishing y expone la contraseña de un cliente. Lo que documenta es en esencia lo mismo en cada una de esas situaciones: cuándo se descubrió, qué sucedió exactamente, quién estuvo involucrado, qué acceso estaba en juego, qué acción se tomó y a quién se informó.
Esa documentación es diferente de informar a una autoridad supervisora. Un registro interno de incidentes es un registro continuo que mantiene usted mismo, independientemente de si un incidente está sujeto a obligación de notificación. Para las organizaciones que están sujetas a la Directiva NIS2, este registro forma parte de la obligación de debida diligencia del artículo 21. Para el grupo mucho más grande de empresas de instalaciones que no están sujetas a la obligación pero son evaluadas como proveedores, el registro es a menudo exactamente lo que pide un cuestionario de seguridad de un cliente: ¿puede demostrar que identifica, documenta y da seguimiento a los incidentes? Independientemente de si está sujeto a la ley o solo se ve afectado a través de la cadena, puede verificar su posición con algunas preguntas que muestran su rol en la cadena.
Qué debe contener el registro
Un registro de incidentes útil contiene por evento una fecha y hora de descubrimiento, una breve descripción de lo que se observó o se informó, y el nombre de la persona que lo notó o informó. Además, documenta qué sistema, qué ubicación o qué cliente se vio afectado, y qué acceso desempeñó un papel: una contraseña compartida, una llave física, un pase de acceso, una conexión VPN a la red del cliente. Luego documenta qué acción se tomó, quién fue responsable, y si y cuándo se informó al cliente o a su propia organización. Finalmente, una línea sobre el cierre: ¿se resolvió el incidente y cambió algo como resultado?
Esa última línea a menudo se omite, mientras que las autoridades supervisoras y los clientes es precisamente lo que buscan. Un registro que solo suma notificaciones dice poco. Un registro en el que se puede ver que un problema recurrente llevó a un cambio en el procedimiento de trabajo demuestra que la organización aprende de ello.
La situación específica de los técnicos en el sitio
Lo que distingue al sector de instalaciones de, por ejemplo, una empresa de software, es que el acceso rara vez es solo digital. Un técnico que debe entrar en la ubicación de un cliente a menudo tiene tanto una llave o pase física como una cuenta digital para el sistema de gestión de edificios, la alarma o el sistema de climatización. Un incidente puede ocurrir porque se pierde una llave, porque la cuenta de un antiguo empleado no se revocó, o porque una computadora portátil con credenciales guardadas se roba de un vehículo. En el registro, esa distinción no importa mucho: siempre se trata de la misma pregunta: quién tenía acceso en qué momento y si eso era aún apropiado.
Esto se relaciona directamente con la gestión del acceso: quién puede acceder a qué sistemas y llaves, y si ese inventario está actualizado. Un registro de incidentes sin un inventario continuo de acceso es difícil de completar, porque tendrá que investigar de nuevo en cada incidente quién estaba autorizado dónde. Un inventario continuo de medidas, estados y responsables, como el que mantiene un dossier de ciberseguridad, hace innecesaria esa investigación.
No todos los sucesos requieren el mismo trato
La materialidad también juega un papel aquí: una nota de contraseña perdida que se detecta inmediatamente y se cambia tiene un peso diferente que un acceso no autorizado a un sistema de cliente que solo se descubre semanas después. La Directiva y la legislación nacional distinguen entre incidentes graves y sucesos menores, y los reguladores se fijan en el impacto en la prestación del servicio y en el cliente. Una parte fija de su propia evaluación es, por tanto: si este incidente afecta solo al funcionamiento de su propia empresa, o también a los sistemas o datos de un cliente. En este último caso, la obligación de informar a ese cliente suele estar clara, independientemente de si existe también una obligación legal de notificación.
Los plazos y umbrales exactos que se aplican varían según la situación y el país en el que opera. Para el texto exacto y la referencia, le remitimos a las fuentes oficiales, y para su situación específica a un abogado o a la autoridad reguladora competente. Un resumen de cómo mantenemos las fuentes y de dónde proceden se encuentra en la página que explica nuestra metodología.
Cómo esto se traduce en la práctica
Una empresa instaladora que puede demostrar cómo registra y da seguimiento a los incidentes proporciona a un cliente algo concreto para responder a un cuestionario de seguridad, y tiene un documento de referencia para cuando vuelva a haber problemas. Quien aún no tiene un formato establecido para este registro encontrará un punto de partida y la explicación correspondiente en la descripción general de temas por situación, y las preguntas frecuentes sobre qué debe y qué no debe constar en un registro de este tipo se encuentran en la página de preguntas frecuentes.
Si lo desea, comience con el análisis rápido gratuito: en un par de preguntas verá si su organización está sujeta directamente a la ley, se ve afectada a través de la cadena de suministro, o ninguna de las dos, con una explicación para cada resultado.