Un registro de incidentes en la industria metalúrgica y de fabricación describe como mínimo cuatro cosas: qué sucedió, qué sistemas se vieron afectados, quién intervino y cuándo la situación volvió a estar bajo control. Esto suena simple, pero en un entorno de producción hay una capa adicional: además de la automatización de oficina, aquí funcionan sistemas de control de máquinas, equipos CNC y líneas de producción que a menudo están conectados a las mismas redes que la infraestructura de TI de oficina.
Quien está sujeto a la obligación de diligencia de la NIS2 o es consultado a través de un cliente para demostrar cómo se gestionan los incidentes no puede conformarse con un archivo de Excel independiente que solo registre interrupciones de TI. Una parada de producción debido a un servidor cifrado, un gabinete de control que no responde, o un proveedor que inicia sesión de forma remota en una máquina y abre acceso involuntariamente: estos son todos eventos que pertenecen al mismo registro, incluso si la causa no es inmediatamente clara.
Por qué esto es más que un ticket en el servicio de asistencia
El registro de incidentes es una de las medidas que se derivan de la obligación de diligencia de la Directiva NIS2, para organizaciones que son en sí mismas críticas o importantes. Para empresas afectadas a través de un cliente, ahora también es una pregunta común en el cuestionario: ¿cómo documenta lo que sucedió y puede demostrarlo? Una descripción general de cómo esta medida se relaciona con otras obligaciones de la obligación de diligencia se encuentra en la descripción general de todos los temas, con una respuesta breve por tema y la ubicación en el texto oficial.
La diferencia entre una empresa que tiene esto en orden y una que no, rara vez está en la técnica. Está en el hábito de escribir algo tan pronto como sucede, en lugar de reconstruir después qué sucedió exactamente.
Los sistemas de producción requieren una perspectiva diferente
Un incidente en la oficina es relativamente claro: una computadora portátil, un buzón, una unidad compartida. En la industria metalúrgica y de fabricación, los sistemas de producción a menudo funcionan durante años sin que nadie les dedique atención, con acceso para el proveedor de la máquina, un socio de mantenimiento o un proveedor de servicios técnicos que supervisa de forma remota. Esto hace que a veces sea difícil distinguir entre una avería y un incidente de seguridad en el momento: ¿se detiene una línea por desgaste, por una actualización incorrecta, o porque alguien no autorizado ha accedido?
Precisamente por eso es útil tener un campo separado en el registro para el tipo de sistema: automatización de oficina, un sistema de producción conectado a la red empresarial, o un sistema gestionado de forma remota por un tercero. Esta clasificación no solo ayuda en el análisis posterior, sino también a responder la pregunta que un cliente a menudo plantea: cómo está su entorno de producción separado de su infraestructura de TI de oficina.
Qué debe incluirse como mínimo en el registro
Un registro útil describe el momento en que se detectó el incidente y por quién, una breve descripción de qué se observó, qué sistemas o líneas de producción se vieron realmente afectados, qué medidas se tomaron para limitar el daño, y el momento en que se restauró la situación normal. Esto también incluye una breve conclusión: ¿fue este un incidente de seguridad, una avería técnica, o quedó sin aclarar cuál fue la causa? Esta última categoría puede existir sin problema; no todo incidente se puede explicar dentro de un día, y un registro honesto lo dice claramente.
La diferencia entre documentar e informar
Registrar es algo diferente de notificar. Las organizaciones que son ellas mismas entidades esenciales o importantes conforme a la Directiva NIS2 deben cumplir una obligación de notificación ante su autoridad supervisora, con plazos establecidos en la propia ley. Para los plazos precisos y la forma de notificación, nos remitimos al texto oficial y a la autoridad supervisora de su país; deliberadamente no hacemos una estimación al respecto aquí. Quien se ve afectado a través de la cadena de suministro generalmente no tiene una obligación legal de notificación, pero a menudo sí una obligación contractual con el cliente de notificar incidentes dentro de un plazo acordado. Un buen registro es en ambos casos el punto de partida: sin documentación no hay nada en lo que apoyarse cuando alguien solicita una aclaración.
Quién se encarga de esto en su empresa
En muchas empresas de instalación y fabricación, la responsabilidad de los sistemas de producción recae en la dirección de producción, mientras que el responsable de TI se ocupa principalmente de la automatización de oficinas. Esto hace importante determinar de antemano quién es responsable del registro de incidentes en su conjunto, y quién debe ser llamado primero en caso de un incidente concreto. Un registro que se mantiene en dos sistemas separados, uno para TI y otro para producción, genera principalmente retrasos en el momento en que más importa.
Lo que Secria hace y no hace por usted
Secria ayuda a organizar el dossier en el que este registro tiene un lugar fijo, con un estado, un documento de prueba y un responsable por medida, y con textos preparados para cuando sea necesaria una notificación. Lo que no hacemos es resolver el incidente en sí: sin respuesta ante incidentes, sin SOC, sin investigación forense. Eso sigue siendo trabajo especializado de otros, y nos encargamos de preparar para que, cuando llegue el momento, no comience desde cero. Más información sobre cómo obtenemos nuestra información y qué fuentes utilizamos, puede leerlo en la página sobre cómo funciona. Los costes del dossier y las plantillas aparecen en la página de precios.
¿Desea saber primero si y cómo encaja su empresa exactamente aquí, como entidad esencial o importante o como proveedor afectado por la cadena de suministro? Realice la comprobación NIS2 gratuita y vea en pocas preguntas dónde se encuentra, o continúe leyendo en la base de conocimientos para más contexto sobre este tema.