Revisión independiente de cierre de incidente

Una revisión independiente de cierre de incidente antes de que el consejo de administración acepte la palabra contenido.

La firma de respuesta a incidentes ha entregado su informe y la recomendación es cerrar. Antes de aceptarlo, alguien sin interés en la respuesta debería leer la evidencia en que se apoya.

Qué hago

Releer la evidencia, no el informeVuelvo a lo que realmente se recopiló: las imágenes forenses, los registros, la telemetría de endpoints, los registros de identidad, la cronología. El informe es la interpretación del equipo de respuesta. La revisión contrasta la interpretación con la fuente.

Contrastar cada conclusión materialAcceso inicial, alcance, persistencia, exfiltración, erradicación. Cada conclusión está sustentada por un artefacto concreto, inferida de la ausencia de uno o asumida. Dejo por escrito cuál de las tres, y qué significa la diferencia para la decisión que tiene delante.

Nombrar lo que nunca se examinóLos sistemas de los que no se tomó imagen, las fuentes de registro no conservadas, las identidades no revisadas, los terceros a los que no se preguntó, la ventana temporal no cubierta. Las lagunas en la evidencia son hallazgos. Ahí es donde vive la segunda intrusión.

Declarar si el cierre se sostieneSe sostiene, se sostiene solo con condiciones concretas, o no se sostiene. Una de las tres, por escrito, con mi nombre, junto con lo que tiene que ocurrir antes de que las actas registren el incidente como cerrado.

A quién va dirigido

Abogados de empresa, comités de auditoría, consejos de administración y el CISO que tiene que firmar el memorando de cierre. Lo más habitual es que el informe proceda de una firma del panel de la aseguradora, contratada bajo la póliza, con un alcance y un presupuesto aprobados por la compañía. Puede que esa firma haya hecho un buen trabajo. También tenía una relación con el cliente que proteger y un reloj que batir, y las preguntas que no hizo no están en el informe. Una segunda opinión de alguien ajeno al panel, que no vende la remediación y que no será contratado para el siguiente incidente en función de lo que diga sobre este, es la comprobación.

El momento es después del informe final del equipo de respuesta y antes de que la decisión de cierre se consolide en notificaciones a reguladores, cartas a clientes, un relato para la aseguradora o una manifestación en una transacción. Es la pregunta que el consejo se está haciendo realmente: si se contuvo, y cómo lo sabemos. Si la intrusión sigue activa, eso es respuesta a incidentes, un encargo distinto con un reloj distinto.

Cuándo no contratarme

No me contrate para confirmar un cierre que el consejo ya ha anunciado, ni para producir una versión más amable de los hallazgos de la firma del panel. Si la evidencia nunca se preservó y no puede recuperarse, diré que la revisión no puede llegar a una conclusión, y esa es la conclusión que recibirá. Si lo que necesita es repetir la investigación completa, eso es un encargo mayor y lo delimitaré como tal en lugar de llamarlo revisión. Y si el trabajo del equipo de respuesta es sólido, la revisión lo dirá con claridad, lo que merece la pena tener en el expediente pero no es lo que todo el mundo quiere pagar.

Qué recibe

Una determinación escrita de si la evidencia sustenta contenido, erradicado y cerrado, contrastada conclusión por conclusión con el expediente, con las áreas no examinadas nombradas y la recopilación o el análisis adicionales necesarios para cerrarlas. Donde las conclusiones del equipo de respuesta se sostienen, la revisión lo dice, y el consejo de administración tiene una base independiente para su decisión. Donde no se sostienen, el consejo lo oye de mí, en privado, antes de oírlo del atacante o del regulador. No acepto trabajo de panel de aseguradoras, no vendo la remediación, y la persona que lee la evidencia es la persona que firma la conclusión.

Llega como una conclusión escrita en el formato del memorando de muestra: la pregunta, la evidencia revisada, los supuestos en que se apoya, los hallazgos, las incógnitas y qué hacer a continuación.

Preguntas habituales

¿Qué es una revisión de cierre de incidente?

Una revisión independiente, una vez que la firma de respuesta a incidentes ha entregado su informe, de si la evidencia sustenta la conclusión de que la brecha fue contenida y erradicada. Vuelve a leer la evidencia recopilada, contrasta cada hallazgo material con ella, identifica lo que no se examinó y declara por escrito si el cierre se sostiene, se sostiene con condiciones o no se sostiene.

¿Cuánto cuesta una revisión de cierre de incidente?

Normalmente $20,000–$30,000+ según el alcance. Los encargos se delimitan y se presupuestan por escrito tras una breve llamada de alcance. El alcance depende del tamaño del conjunto de evidencia, el número de conclusiones del informe del equipo de respuesta y la fecha con la que trabaja el consejo. Contacte conmigo con el índice del informe y la fecha de decisión, y contestaré con un alcance escrito.

¿Por qué no pedir a la firma de respuesta a incidentes que confirme la contención?

Puede, y debería. Pero la firma está comprobando su propio trabajo, sobre el conjunto de evidencia que decidió recopilar, bajo el alcance que aprobó la aseguradora. Una segunda opinión de alguien sin papel en la respuesta ni interés en el resultado responde a una pregunta distinta: no si la firma hizo lo que se le pidió, sino si lo que se le pidió era suficiente.