Checklist de ciberseguridad para MSP: pasos prácticos para proteger tu empresa del ransomware y otras amenazas

Los proveedores de servicios gestionados y sus clientes se han convertido en objetivos cada vez más populares de los ciberataques.

Los hackers detrás del ransomware, en particular, han señalado a los MSP y a sus clientes como principales candidatos para la extorsión, y han adaptado sus tácticas para crear escenarios dignos de sus peores pesadillas.

En lugar de limitarse a cifrar los sistemas del MSP, los atacantes utilizan las credenciales comprometidas de los empleados para piratear las herramientas de software del MSP y utilizarlas para desplegar ransomware a todos los clientes del MSP a la vez.

A partir de 2019, los atacantes comenzaron a acceder y abusar de una gran cantidad de software popular centrado en MSP, incluidos Kaseya VSA, Webroot, Connectwise ScreenConnect y Continuum. Ese año, los atacantes también obtuvieron acceso a un pequeño número de clientes MSP de NinjaOne a través de métodos que nada tenían que ver con NinjaOne. En ninguno de los dos casos vimos indicios de fallo de seguridad por parte de NinjaOne. En su lugar, las pruebas sugieren que los MSP se vieron comprometidos a través de otros canales, y los atacantes utilizaron después las credenciales de los MSP para llevar a cabo acciones no autorizadas con sus herramientas.

Para satisfacción de la comunidad de MSP, estos incidentes impulsaron al sector en su conjunto a adoptar protocolos de seguridad más estrictos. En concreto, la adopción de la autenticación de dos factores tuvo un impacto drástico en la reducción de los ataques exitosos (durante el MSP Security Summit de 2020, el CEO de Coveware, Bill Siegel, afirmó que su empresa no había tenido que responder a ningún incidente en el que se hubiera activado la autenticación de dos factores).

Pero aunque se han hecho progresos, la sensación de urgencia sigue siendo muy real. El éxito inicial del pirateo de cuentas de MSP ha animado a los atacantes a seguir centrándose en comprometer estas redes en particular. Si eres un MSP, por desgracia debes asumir que es solo cuestión de tiempo que seas el objetivo de intentos de ataque similares. En ese sentido, es esencial es adquieras un conocimiento práctico de las ciberamenazas y de las buenas prácticas de ciberseguridad que encontrarás enumeradas a continuación.

¿Qué hacer ahora (si todavía no has tomado medidas)?

Es vital que los MSP activen la autenticación en dos fases (2FA) cuanto antes en todos los software que utilicen, así como en el correo electrónico. Pero eso no es todo, ni mucho menos. Hemos creado la siguiente checklist para proporcionar a los MSP una lista de cosas específicas que pueden hacer para reducir su superficie de ataque y mejorar su capacidad para prevenir, detectar y responder a los ataques.

No se trata de aplicar todas estas recomendaciones a la vez, eso es imposible. Simplemente queremos ofrecerte una lista que puedas consultar y ampliar progresivamente, en función de tus prioridades y del tiempo de que dispongas. Al fin y al cabo, mejorar la seguridad no es una actividad puntual, sino un proceso continuo. Recuerda que cualquier mejora que puedas hacer ahora te costará menos tiempo y dinero que enfrentarte a un ataque activo más adelante, así que ¡no lo pospongas!

¿Quieres una copia en PDF de la checklist para consultarla más tarde? Descárgala aquí.

 

Nota: Obviamente, estas recomendaciones no son exhaustivas. Dependiendo de tus características específicas (tamaño, infraestructura, etc.), algunas pueden no ser apropiadas para tu empresa. La seguridad no es un concepto único, y lo que para unos es fundamental, puede ser exagerado para otros. Sé pragmático, adopta un enfoque por capas y recuerda que, al implementar nuevos controles, siempre es buena idea probarlos primero para evitar interrupciones imprevistas.

Qué incluye esta checklist:

1. Limita el acceso a tu red
   1. Bloqueo de las herramientas de gestión remota
   2. Protección del escritorio remoto
2. Protege a tus usuarios y tus endpoints
   1. Endurecimiento del sistema Windows
   2. Protección de Microsoft Office
3. Estate preparado para detectar y responder rápidamente a los incidentes de seguridad
   1. Supervisión
   2. Creación de un plan de respuesta a incidentes

Limita el acceso a tu red

 

“La Tierra no es plana y tu red tampoco debería serlo”.

– Catherine Pitt, Vicepresidenta de seguridad de la información de Pearson

 

Muchos de los ataques actuales, como los APT, están diseñados para instalarse y expandirse por las redes de las víctimas. Para evitarlo, hay que establecer barreras entre los usuarios y los activos.

• Haz un inventario de forma activa de todos los activos de la red y clasifícalos en función del riesgo
  Aquí tienes un tutorial (en inglés) para empezar.
• Utiliza contraseñas fuertes y únicas
  Tienen que tener mayúsculas y minúsculas y estar formadas por letras, números y símbolos. No deben compartirse ni reutilizarse. Desde un punto de vista práctico, eso significa quecontar con la herramienta de gestión de contraseñas adecuada es imprescindible (y no, una hoja de cálculo no cuenta). Hay muchas opciones que permiten almacenar contraseñas de forma segura, gestionar permisos, auditar el uso y supervisar las sesiones. También resuelven el problema de qué hacer cuando un técnico tiene que ser despedido o abandona repentinamente la empresa. 
• Esto incluye el uso de contraseñas de administador local únicas
  La Solución de contraseñas de administrador local (LAPS) de Microsoft puede ayudar a que esto sea manejable.
• No guardes las credenciales en los navegadores
  Es extremadamente común que los atacantes/malware rastreen las cachés de los navegadores.
• ACTIVA LA AUTENTICACIÓN MULTIFACTOR SIEMPRE QUE SEA POSIBLE
  Esto es especialmente importante para evitar la oleada actual de ataques de ransomware que piratean las herramientas de software de los MSP. Existe una gran variedad de herramientas 2FA/MFA a tener en cuenta.
• Evita utilizar nombres de usuario genéricos
  Nada de “admin”, “administrador”, “predeterminado”, “root”, “usuario”, etc.
• Elimina el uso innecesario de privilegios elevados
  Adopta el principio del mínimo privilegio. Por ejemplo: Los técnicos deben utilizar una cuenta estándar, de no administrador por defecto, y una cuenta de administrador separada solo si es necesario, idealmente desde una estación de trabajo con acceso privilegiado.
• Crea topes entre los distintos niveles de acceso privilegiado
  Microsoft aconseja adoptar un modelo en capas compuesto por tres niveles de cuentas de administrador que controlen cada uno una categoría diferente de activos (dominios, servidores y estaciones de trabajo).
• Aplica el “mínimo privilegio” a las cuentas de servicio
  La creación de cuentas de servicio para aplicaciones específicas puede ayudarte a aislar los daños en caso de que una sola cuenta se vea comprometida, pero siempre y cuando evites errores comunes. Desactiva los servicios que no necesites y considera la posibilidad deusar cuentas de servicios gestionados en grupo (gMSA)para que la gestión de las cuentas de servicio sea más fácil y segura.
• Elimina usuarios finales del grupo de administrador local
  Otro de los controles de seguridad más básicos que, en la vida real, se pasa por alto o no se cumple. He aquí un sencillo tutorial sobrecómo eliminar administradores locales mediante un GPO, así como algunos consejos para abordar cualquier idea errónea o rechazo que puedas encontrar por parte de ejecutivos y otras personas.
• Audita los sistemas en busca de cuentas de usuario inactivas
  Se calcula que un tercio de las cuentas de usuario están inactivas pero siguen habilitadas. Todos esos puntos de acceso desatendidos representan un gran riesgo para la seguridad. Realiza auditorías periódicas y establece una política clara para desactivar y eliminar cuentas cuando los usuarios dejen la empresa.
• Bloquea los movimientos laterales entre puestos de trabajo
  Hoy, un número creciente de ataques no se limitan a estaciones de trabajo aisladas, sino que están diseñados para alojarse en algún lugar y propagarse desde ese punto. Con Active Directory, las directivas de grupo y el firewall de Windows, puedes evitar la comunicación entre estaciones de trabajo y, al mismo tiempo, permitir el acceso desde su estación de trabajo privilegiada.

Bloquea tus herramientas de gestión remota

No solo las capacidades de acceso remoto son críticas para tu negocio, sino que hay pocas cosas en el mundo que a un atacante le gustaría más hackear.

• Limita el acceso a las herramientas de gestión remota
  Limita su disponibilidad estrictamente a las personas que no pueden hacer su trabajo sin ellas.
• Utiliza contraseñas fuertes y únicas Y autenticación multifactor
• Limita el acceso de las cuentas remotas
  Piensa siempre en términos de mínimo privilegio, sobre todo cuando trabajes con clientes de sectores verticales regulados o que manejan información confidencial u otro tipo de información sensible. Es posible que tengas que demostrar que tus técnicos nunca tuvieron acceso a esa información.
• No inicies sesión en estaciones de trabajo con cuentas de administrador de dominio 
  Al hacerlo, existe la posibilidad de que los hackers consigan las credenciales de administrador si la estación de trabajo utilizada se ve comprometida. Las cuentas de administrador de dominio deben ser pocas y utilizarse exclusivamente para contectarse a los controladores de dominio (y no a las estaciones de trabajo). 
• Mantén actualizado el software de gestión remota
  Aplica actualizaciones con regularidad y estate especialmente atento a cualquier parche que aborde vulnerabilidades que podrían proporcionar a los atacantes la ejecución remota de código o el acceso no autorizado.
• Permite el registro/seguimiento centralizado y las alertas para las sesiones de acceso remoto
  Capturar información sobre sesiones y actividades de acceso remoto te permitirá realizar auditorías, detectar anomalías e investigar y responder a cualquier actividad sospechosa.

Escritorio remoto seguro (RDP)

Asegurar el RDP puede ser un principio básico de seguridad, pero sigue siendo descuidado y continúa siendo una de las principales causas de compromiso. Un rápido análisis de Shodan muestra que millones de sistemas están exponiendo ahora mismo su RDP. Sin duda son objeto de ataques de fuerza bruta. Una vez pirateado, el acceso a las cuentas comprometidas se puede adquirir por unos pocos euros en los mercados de la dark web.

El compromiso de RDP ha sido el vector de ataque preferido de muchas variantes de ransomware, como CrySiS/Dharma, Shade y SamSam, el ransomware utilizado para infectar Allscripts, numerosos hospitales y la ciudad de Atlanta.

• No expongas tu RDP (ni ningún recurso interno) a Internet a menos que sea absolutamente necesario
  Incluso entonces, pregúntate si hay una forma mejor de hacer lo que necesitas.
• Utiliza escáneres de puertos para identificar cualquier RDP (y otros puertos y servicios) expuesto a Internet
  Utiliza herramientas de análisis como Nmap,masscan o Shodan. Los malos ya lo están haciendo, así que tómate unos minutos para ver tu red a través de sus ojos. Otra herramienta que te guía a través del análisis básico de puertos es ShieldsUP.
• Identifica los sistemas que han sido comprometidos por backdoors RDP
  Una de las formas más comunes de crear un backdoor es hacer un uso abusivo de la función de sticky keys de Windows. Dos herramientas de análisis diferentes para identificar servidores RDP pirateados están disponibles aquí y aquí.
• Desactiva RDP en las máquinas que no lo necesiten
  Esto reduce el riesgo de que los atacantes aprovechen una máquina comprometida para acceder a otras de la red.
• Elimina el acceso de la cuenta de administrador local al RDP
  Por defecto, todos los administradores pueden conectarse al escritorio remoto.
• Utiliza contraseñas fuertes y únicas y autenticación multifactor
  El MFA es una buena idea, pero si no tienes otra solución que tener un RDP expuesto, se convierte en una necesidad.
• Aplica una política de bloqueo de cuentas
  El número de intentos fallidos necesarios para activar un bloqueo depende de ti, pero por lo general, Microsoft recomienda un bloqueo de 15 minutos tras 10 intentos fallidos.
• Cierra sesiones desconectadas e inactivas
  Puede no ser la solución que más guste, pero es una medida de mitigación importante para evitar el pirateo de sesiones.
• Limita el acceso al RDP utilizando firewalls, pasarelas RD y/o VPN
  Utilizando un firewall puedes restringir el acceso al RDP a las direcciones IP de la lista blanca. Las pasarelas RD son más completas. Permiten restringir no solo quién tiene acceso, sino a qué tiene acceso, sin necesidad de configurar conexiones VPN. Más información sobre las pasarelas RD aquí.
• Deja activada la autenticación a nivel de red (NLA)
  El NLA proporciona una capa adicional de autenticación antes de establecer una conexión remota. Más información sobre cómo comprobar la configuración de la directiva de grupo para confirmar que el NLA está activado aquí.
• Cambia el puerto de escucha por defecto (TCP 3389)
  Esto no ocultará el RDP de los atacantes decididos, pero elevará el listón y te ayudará a protegerte de los ataques automatizados y los ataques perezosos. Microsoft explica cómo realizar el cambio aquí. 

Recursos adicionales:

• Proteger el escritorio remoto (RDP) para administradores de sistemas (en inglés)
• Alerta del FBI y del DHS: Los ciberdelincuentes explotan cada vez más el protocolo de escritorio remoto para llevar a cabo actividades maliciosas (en inglés)
• Las organizaciones dejan backdoors abiertas a ataques baratos al protocolo de escritorio remoto

 

Protege a tus usuarios y tus endpoints

 

“Muéstrame un correo malicioso y te diré quién hará clic en el enlace que contiene”.

– Antiguo proverbio de seguridad de la información

 

La gran mayoría de los ataques se dirigen a la parte más vulnerable de tu red: los usuarios. He aquí las mejores prácticas para asegurar tus dispositivos y proteger a los usuarios de sí mismos.

• Usa un software de seguridad de endpoints que utilice aprendizaje automático y/o análisis de comportamiento
  Hoy en día, pocos antivirus se basan únicamente en la coincidencia de firmas. En su lugar, la mayoría de los proveedores de antivirus han incorporado algoritmos de detección de aprendizaje automático en su oferta general o como una línea de productos adicional (más cara) (consulta nuestra guía sobre herramientas EDR y NGAV aquí). Estas soluciones son mucho más eficaces para bloquear los programas maliciosos, tanto los nuevos como los polimórficos, pero el inconveniente es que pueden generar un número considerable de falsos positivos. Además, a menudo siguen siendo ciegos a los ataques que abusan de herramientas legítimas del sistema o utilizan otras técnicas “sin archivos”, otra razón por la que la seguridad es cuestión de capas.
• Mantén actualizados los sistemas y el software de los puestos finales
  Suele ser más fácil decirlo que hacerlo teniendo en cuenta que hubo más de 15.500 CVE publicadas en 2018. Las actualizaciones de Windows por sí solas pueden ser toda una odisea, por no hablar de las aplicaciones de terceros. Asegúrate de que automatizas la gestión de parches tanto como sea posible a través de tu RMM, y que realmente confías en él para aplicar los parches con éxito. Realiza auditorías periódicas de parches para identificar máquinas que puedan ser vulnerables. El 57% de las filtraciones de datos se atribuyen a una mala gestión de los parches.
  
• Desarrolla un procedimiento operativo estándar para auditar tus políticas de firewall
  Asegúrate de que estás protegiendo tu perímetro maximizando las capacidades de inspección y filtrado de tu firewall.
• Utiliza el filtrado DNS para protegerte de sitios web maliciosos conocidos
  Las soluciones de filtrado DNS pueden proteger a los usuarios incluso cuando están fuera de la red.
• Refuerza la seguridad de tu correo electrónico
  Dado que el 92% de los programas maliciosos se envían por correo electrónico, es imprescindible contar con un buen filtro de spam. Por desgracia, no solo hay que preocuparse por el malware. Para ayudar a prevenir los ataques de phishing y de correo electrónico comercial comprometido (BEC), es una buena idea configurar DMARC, SPF y DKIM para proteger tu dominio de las suplantaciones de identidad. Aquí tienes un tutorial de configuración y una herramienta gratuita de supervisión e informes DMARC que puede ayudarte.
• Aumenta la concienciación de tus empleados en materia de seguridad enseñándoles a detectar correos electrónicos y sitios web maliciosos
  Los usuarios no cambian: siempre habrá quien haga clic donde no debería, pero es difícil culpar a esa persona si nunca ha recibido formación. Sobre todo porque los correos electrónicos maliciosos son cada vez más convincentes. Empieza por educarles sobre las señales de alerta clásicas mostrándoles ejemplos reales y comparte buenas prácticas básicas, como pasar el ratón por encima de los enlaces. Seguidamente, considera la posibilidad de pasar a simulaciones de phishing y a una formación más formal
• Utiliza una solución de copia de seguridad fiable y prueba la recuperación a partir de copias de seguridad a gran escala
  Contar con varios puntos de restauración y replicación externa es clave, al igual que realizar pruebas periódicas para asegurarte de que las copias de seguridad están configuradas y funcionan correctamente. Recuerda la copia de seguridad de Shrodinger: “El estado de una copia de seguridad se desconoce hasta que se intenta restaurar”.

Endurecimiento del sistema Windows

Muchos de los ataques actuales intentan abusar de las herramientas y funcionalidades integradas. Esta táctica de LOTL (living off the land) les ayuda a eludir las defensas y evadir la detección confundiéndose con la actividad legítima de los administradores. Estas son las medidas que puedes tomar para mitigarlo:

• Protégete contra el dumping de credenciales
  Para equipos con Windows 10 y Server 2016, considera la posibilidad de habilitar Credential Guard. También puedes limitar o desactivar el número de credenciales de inicio de sesión anteriores que Windows almacenará en caché (el valor predeterminado es 10). Aquí encontrarás instrucciones para desactivar el almacenamiento en caché de credenciales en sistemas antiguos.
• Desactiva o restringe PowerShell
  Los atacantes abusan de PowerShell para una amplia variedad de tareas, desde descargar y ejecutar malware hasta establecer persistencia, lograr movimiento lateral y más (todo mientras evitan la detección AV). También viene activado por defecto. Si no es necesario que PowerShell esté en el equipo de un usuario, elimínalo. Si eso no es una opción, asegúrate de que es la última versión, desactiva el motor PowerShell v2, y el uso de una combinación de AppLocker y el modo Constrained Language para reducir sus capacidades (aquí se explica cómo hacerlo).
• Restringe el lanzamiento de archivos de script
  PowerShell no es el único lenguaje de scripting y framework del que les gusta abusar a los atacantes. Antes de Windows 10, Microsoft recomendaba realizar cambios en el registro para que se emitiera un aviso de advertencia antes de permitir la ejecución de archivos .VBS, .JS, .WSF y otros archivos de script. Los sistemas Windows 10 pueden utilizar AppLocker para bloquear archivos de script con un control más granular.
• Utiliza AppLocker para restringir las aplicaciones
  Las listas blancas no son para todo el mundo, ya que para algunos equipos, puede ser un reto gestionarlas y mantenerlas, pero en los entornos en los que es factible puede ser una capa de seguridad muy eficaz al limitar qué aplicaciones pueden ejecutarse y en qué condiciones. Aquí encontrarás consejos para empezar a utilizarlo.
• Bloquea o restringe los LOLbins
  Para eludir las soluciones antivirus y de listas blancas como AppLocker, los atacantes utilizan cada vez más herramientas nativas de Windows. Los programas integrados como certutil, mshta y regsvr32 deben bloquearse o impedir que realicen peticiones salientes mediante las reglas del Firewall de Windows. Lo mismo ocurre con las herramientas legítimas de transferencia de datos bitsadmin y curl. Aquí encontrarás una lista más completa de “LOLbins”.
• Utiliza el Firewall de Windows para aislar los endpoints
  Además de bloquear las peticiones salientes de los LOLbins mencionados anteriormente, puedes utilizar el Firewall de Windows para cortar algunas de las rutas más utilizadas para el acceso remoto malicioso y el movimiento lateral (como el acceso a archivos compartidos a través de SMB). Aquí tienes un buen tutorial.
• Restringe o supervisa Windows Management Instrumentation (WMI)
  WMI está a la altura de PowerShell en términos de utilidad, así que es importante que vigiles los posibles abusos de esta herramientatambién. En los casos en que WMI remoto no sea necesario, considera la posibilidad de establecer un puerto fijo para él y bloquearlo.
• Utiliza los niveles más altos de control de cuentas de usuario (UAC) siempre que sea posible
  El UAC puede poner un obstáculo importante en el camino de los ataques que intentan elevar privilegios. Considera ajustar la configuración de políticas de Windows 10 para denegar automáticamente los intentos de elevación para los usuarios estándar y solicitar el consentimiento en el escritorio seguro para los administradores (tienes una guía de UAC para versiones anteriores de Windows disponible aquí). Además, plantéate seriamente activar el modo de aprobación de la cuenta de administrador integrada. Además de mitigar los intentos de escalada de privilegios, que también hará que cualquier intento de abusar de PsExec (una herramienta de administración legítima de la suite Sysinternals de Microsoft) falle. También te puede interesar cómo configurar las opciones de UAC para Windows (PowerShell Script).

Recursos adicionales:

• El aumento del uso de PowerShell en los ataques
• El aislamiento de endpoints con el Firewall de Windows
• Binarios, scripts y bibliotecas LOTL

Protección de Microsoft Office

Los documentos de Office maliciosos siguen siendo uno de los vectores más populares y eficaces del malware. La clave para mitigar esa amenaza es desactivar o restringir las siguientes funciones. 

• Desactiva o restringe los macros
  Ocultar macros maliciosas en documentos de Office es uno de los trucos más antiguos utilizados por los hackers modernos, y sigue siendo popular y eficaz. Si las macros no se utilizan en tu empresa, considera la posibilidad de utilizar la configuración de directiva de grupo para desactivarlas sin notificación y desactivar VBA por completo para las aplicaciones de Office. Si necesitas ejecutar macros en determinadas condiciones, limítalas permitiendo sólo macros firmadas y bloqueando las macros en documentos de Office descargados de Internet – tutorial (Office 2016); Archivos de plantillas administrativas de directiva de grupo (ADMX/ADML)
• Desactiva o restringe el OLE (Object Linking and Embedding)
  Guía para bloquear la activación de los paquetes OLE mediante cambios en el registro; guía para bloquear la activación de componentes OLE / COM en Office 365 mediante cambios en el registro;guía para desactivar las conexiones de datos y la actualización automática de los vínculos de libros a través del Centro de confianza.
• Desactiva el intercambio dinámico de datos (DDE)
  Guía para desactivar la Búsqueda / Inicio del Servidor de Intercambio Dinámico de Datos mediante cambios en el registro; tutorial para desactivar mediante el Centro de confianza

 

Estate preparado para detectar y responder rápidamente a los incidentes de seguridad

 

“El tiempo de inactividad y las interrupciones causadas por el ransomware medio duran 7,3 días”

– Coveware

 

No basta con trabajar para prevenir los ataques, también es necesario disponer de las capacidades y políticas adecuadas para identificar, contener, analizar y remediar rápidamente las situaciones comprometidas. 

Nota:Hay cosas básicas que se pueden hacer aquí, pero a un nivel más avanzado, suele implicar el uso de herramientas complejas, el análisis de registros, y la creación de capacidades de supervisión y respuesta 24/7. Dependiendo de tu experiencia, ancho de banda y requisitos, puede que necesites plantearte la externalización. 

Supervisión

• Establece una línea de base del rendimiento de la red para identificar anomalías
• Utiliza tu RMM y/o un SIEM para establecer una supervisión centralizada y en tiempo real de la red y los endpoints
  
• Aprovecha las configuraciones de alerta preconfiguradas y crea plantillas para casos de uso estándar (estaciones de trabajo, servidores, etc.)
  
• Desarrolla procedimientos operativos normalizados para tratar las alertas más críticas y más comunes
  
• Reduce el número de falsas alertas eliminando las de gravedad mínima ante las que no puede hacer nada.
  
• Considera la posibilidad de supervisar los ID de eventos clave de Windows: comienza con laslistas aquí y aquí 
• Considera la posibilidad de utilizar una solución de detección y respuesta de endpoints (EDR)
• Habilita y configura los registros del sistema adecuados para ayudarte con tus propias actividades de análisis forense digital y respuesta a incidentes (DFIR) o las que subcontrates a terceros. Consulta estas hojas de referencia para Windows
  
• Almacena los registros en un lugar central y aislado
  
• Determina si necesitas externalizar la gestión de todo o parte de lo anterior a un proveedor de detección y respuesta gestionadas (MDR)

Crea un plan de respuesta a incidentes

Cuando se produce un incidente de seguridad, hay que ser capaz de actuar con rapidez bajo presión. Para ello se necesitan directrices claras y una planificación eficaz.  

• Define lo que constituye un incidente de seguridad
  
• Establece funciones, responsabilidades y procedimientos para responder a incidentes, incluida la recuperación en caso de catástrofe
  
• Identifica las opciones de escalada en caso de que el incidente requiera una respuesta y una recuperación más amplias/expertas de las que tú puedes proporcionar
• Ten un plan de comunicación interna, con los clientes, las autoridades y el público (si es necesario); mejor aún, ten plantillas preparadas
• Comprende los requisitos de cumplimiento relativos a la divulgación y notificación de incidentes – Norma de notificación de infracciones de la HIPAA; Preguntas frecuentes sobre las notificaciones de violaciones de datos del GDPR
  
• Organiza simulacros de incendio
• Recurso adicional: “Incident Handling: First Steps, Preparation Plans, and Process Models”  de ERNW (en inglés)

 

Conclusión: Roma no se hizo en un día

Dependiendo de cuánto hayas invertido ya en seguridad, esta lista puede parecerte demasiado larga. Si ese es el caso, recuerda que la seguridad no es algo que se pueda consiguir al 100%. Las cosas cambian constantemente, y el objetivo no es convertirnos en una fortaleza de seguridad de la noche a la mañana, sino simplemente asegurarnos de ir dando pequeños pasos hacia adelante.

Concéntrate en hacer unas pocas cosas de esta lista cada vez. O incluso solo una. Luego haz otra. Trata de progresar gradualmente. Todo lo que hagas puede tener un impacto. Si reduces el riesgo o subes el listón para los atacantes, aunque sea un poco, entonces estás haciendo bien tu trabajo.

¿Quieres recibir por correo electrónico una copia en PDF de esta checklist? Descárgala aquí.