Anticipándonos a un escenario no esperado: expectativas incumplidas

Tiempo de lectura estimado: 6 minutos

Esta conferencia magistral pertenece al Módulo 7 “Gestión de incidentes. Buenas prácticas en cibercrisis: Especial referencia Ransomware” de C1b3rWall Academy 2021/2022. El objetivo de la misma es mostrar la prevención de incidentes de ciberseguridad desde el punto de vista del desconocimiento o la dejadez. 

Expectativas del servicio

La idea a la que aspiramos es anticiparnos a un escenario no esperado para cumplir con lo que espera y necesita el cliente. No se trata de realizar una simple adquisición de información, hay que entender sus inquietudes y necesidades, ver el proyecto en su conjunto.

Conocimiento del contexto

Debemos conocer la motivación de servicio (cumplimiento normativo, incidentes previos, evaluación…) y el conocimiento del servicio (objetivos, metodología y resultados).

Alcance y requerimientos

Una vez conocido el contexto debemos establecer el alcance de esos requerimientos. Algunas de las características a la hora de hacerlo son:

• Descubrimiento
• Entornos a analizar
• Limitaciones horarias/pruebas/activos
• Idioma
• Pruebas modalidad de ejecución: caja negra/gris/blanca
• Tipo de ejecución: remoto/in situ
• Requerimientos de acceso: VPN/credenciales/whitelist
• Verificación de requerimientos previa al inicio
• Datos de contacto
• Continuidad del servicio

Si no cuidamos estos aspectos puede provocar retrasos y sobrecostos en el proyecto.

Entregables y presentación de resultados

Es una parte importante pues es en la que demostramos el valor aportado. Ciertos aspectos a tener en cuenta son:

• Tener claro los entregables a realizar
• Estándar de clasificación de vulnerabilidades: priorización de correcciones
• Comparativa con el sector
• Descripciones detalladas
• Recomendaciones detalladas
• QA: proceso de revisión y aprobación
• Facilitar entregables de forma previa a la presentación de resultados
• Presentación de resultados
  
  

Conclusiones

• No toma decisiones basadas en presunciones
• Toda prueba implica un riesgo
• Alcance y objetivos claramente definidos
• Verificación de requerimientos de forma previa al inicio
• Contacto con el cliente durante el servicio
• Mantener registros de auditoría
• Entregables de calidad

¿Todavía no formas parte de C1b3rWall Academy? El contenido es gratuito, únete a otras 30.000 personas desde este enlace.

Si te interesa este tema, puedes consultar la información y cursar el Máster en Ciberseguridad o ver la oferta de másteres desde aquí.

Ponente: Vicente Aguilera Díaz

Socio fundador de Internet Security Auditors y fundador de OWASP Spain. Director del máster de ciberinteligencia @Mciberinteligen y colaborador de otros proyectos open source. Es autor de la herramienta Tinfoleak y co-autor del libro “OSINT - Investigar personas e identidades en internet”. También ha publicado varias vulnerabilidades.