LecturaQué es un incidente de seguridad
Son las 7:40 de un lunes en Cafetal Digital. La contadora llama a la mesa de ayuda: no puede abrir sus archivos y en el escritorio hay un LEEME.txt que pide un pago en criptomonedas. A esa misma hora, el firewall rechaza miles de conexiones desde internet, como todos los días. Las dos cosas son eventos; solo la primera es un incidente. La respuesta a incidentes empieza por saber cuál es cuál.
Evento, alerta e incidente
Un evento es cualquier suceso observable en un sistema o una red: un inicio de sesión, un correo recibido, un archivo modificado, una conexión bloqueada. Una organización mediana registra tantos que nadie los lee uno por uno, y casi todos son normales.
Una alerta es un evento, o un conjunto de eventos, que una herramienta marcó como sospechoso según una regla. Por ejemplo, "diez inicios de sesión fallidos en un minuto". Una alerta todavía no es un problema confirmado: puede ser un falso positivo.
Un incidente de seguridad es un evento o serie de eventos que compromete, o amenaza de forma real con comprometer, la confidencialidad, la integridad o la disponibilidad de la información o de los sistemas, o que viola las políticas de seguridad de la organización. Verá ejemplos concretos más abajo, en "Dónde se aplica".
Por qué se necesita un proceso
En un incidente, la gerencia pregunta cada veinte minutos qué pasó y el equipo técnico quiere "arreglarlo ya". Sin un proceso acordado, se formatea la laptop de la contadora y, un mes después, el ataque vuelve por la misma cuenta de VPN.
La respuesta a incidentes es el conjunto organizado de actividades para detectar, analizar, contener, eliminar y recuperarse de un incidente, y para aprender de él, de forma que después se pueda explicar a la gerencia, a clientes o a una autoridad.
Breve historia de la respuesta a incidentes
En noviembre de 1988, el gusano Morris dejó fuera de servicio a miles de computadoras conectadas a internet en pocas horas, y nadie sabía a quién llamar. Como respuesta, DARPA financió ese año el CERT Coordination Center en la Universidad Carnegie Mellon, el primer equipo dedicado a coordinar la respuesta.
| Año | Hito |
|---|---|
| 1988 | Gusano Morris y creación del CERT/CC |
| 1990 | Nace FIRST, el foro mundial que reúne a los equipos de respuesta |
| 2004 | NIST publica la primera versión de la guía SP 800-61 |
| 2012 | NIST publica la revisión 2 de SP 800-61, la más usada para enseñar; Costa Rica crea el CSIRT-CR |
| 2022 | Ataques de ransomware contra el Ministerio de Hacienda y la CCSS; el Gobierno declara emergencia nacional |
| 2025 | NIST publica la revisión 3, alineada con el Cybersecurity Framework 2.0 |
Por qué importa en ciberseguridad y en el trabajo
Toda organización va a tener incidentes; lo que cambia es cuánto tarda en notarlos y cuánto daño hacen antes de que alguien actúe. En el día a día del defensor, esto se ve así:
- Un analista de SOC decide en minutos si una alerta se cierra o se escala.
- La persona de tecnología de una pyme aísla una laptop sospechosa en lugar de formatearla.
- La jefatura de seguridad sabe a quién avisar y tiene los contactos a mano.
El error que más veo en pymes: restaurar los respaldos el mismo día, sobre una red donde el atacante todavía tiene una cuenta activa.
Dónde se aplica
| Lugar | Ejemplo de incidente típico |
|---|---|
| Oficinas y laptops | Phishing que instala malware en un equipo |
| Correo y nube | Cuenta tomada que reenvía facturas falsas |
| Servidores internos | Ransomware que cifra el ERP y los archivos compartidos |
| Sitios web y tiendas en línea | Página modificada o denegación de servicio |
| Mundo físico | Laptop perdida sin cifrar o acceso no autorizado al cuarto de servidores |
Quién lo hace
En organizaciones grandes existe un CSIRT, a veces llamado CERT o equipo de IR. En una pyme suele ser una persona de tecnología con un proveedor externo. En ambos casos participan también gerencia, legal, comunicación y, a veces, recursos humanos.
A lo largo del curso trabajará con una empresa ficticia, Cafetal Digital S.A., una distribuidora de 120 personas en San José y Cartago, con un equipo de seguridad pequeño.
Qué no es un incidente
Un escaneo bloqueado por el firewall, un spam en cuarentena o una contraseña olvidada son eventos normales. Declarar incidente por cada alerta agota al equipo, y cuando llega uno real ya nadie contesta el chat con la misma urgencia.
Conceptos clave del curso
| Concepto | Qué significa |
|---|---|
| Tríada CIA | Confidencialidad (solo quien debe ve los datos), integridad (no se alteran sin permiso) y disponibilidad (están cuando se necesitan) |
| Falso positivo | Alerta que parecía maliciosa y resultó ser actividad legítima |
| CSIRT | Computer Security Incident Response Team, el equipo de respuesta a incidentes de seguridad informática |
| Indicador de compromiso (IoC) | Huella técnica de un ataque: una IP, un dominio, un hash o un nombre de archivo |
| Triaje | Evaluación rápida para decidir si algo es real, qué tan grave es y qué se atiende primero |
| Contención | Acciones para frenar el daño mientras se investiga, como aislar un equipo |