Guía de proceso
NIST SP 800-61 Rev. 3
Respuesta a incidentes integrada con gobernanza, preparación, detección y recuperación.
En esta página
Finalidad, alcance y autoridad
Rev. 3 se alinea con CSF 2.0: Govern, Identify y Protect apoyan preparación; Detect, Respond y Recover abordan incidentes, con mejora continua. No es simplemente el modelo de fases anterior renombrado. [1]
Principios y lógica operativa [1]
1. Preparar mediante gobernanza
Acordar autoridad, roles, comunicación y coordinación con proveedores. Recursos, retención y acceso determinan la viabilidad de una investigación.
2. Detectar y analizar
Correlacionar observaciones, impacto y alcance. Definir criterios de declaración y límites de las pruebas; ausencia de alertas no demuestra seguridad.
3. Gestionar la respuesta
Clasificar, priorizar y coordinar. Autorizar expresamente contenciones disruptivas y prever personas o sistemas indisponibles.
4. Investigar y preservar
Comprender lo sucedido y lo afectado. Proteger integridad y procedencia de pruebas, registrando acciones y hallazgos.
5. Contener, erradicar y comunicar
Limitar daños, abordar causas y persistencia. Coordinar comunicaciones según obligaciones reales. Borrar un archivo no demuestra resolución completa.
6. Recuperar y mejorar
Validar servicios restaurados y comunicar estado. Incorporar lecciones durante operaciones y ejercicios, no solo en una reunión final.
Aplicación · recomendaciones editoriales
Proponemos ensayar compromiso de identidad con mensajería principal indisponible. Resolver quién declara, aísla, conserva pruebas y autoriza restauración; asignar dueño a cada incertidumbre. Adaptar procedimientos a plataformas reales: la publicación no es un manual de comandos.
Pruebas para el CISO · expediente propuesto
Plan, contactos vigentes, escalado, conservación de pruebas, procedimientos ensayados, criterios de recuperación y mejoras seguidas. Medir calidad de decisiones y recuperación junto al tiempo. Cerrar rápido una incidencia no prueba erradicación.
Errores frecuentes y límites
Evitar un modelo exclusivo del SOC, supuestos no probados sobre proveedores, cierre prematuro y presentar Rev. 2 como vigente. Consultar las tablas completas para recomendaciones por resultado CSF.
Fuentes oficiales y ruta de lectura
Apartados que consultar en la fuente: Sections 2–3; CSF 2.0 Community Profile.
Comentario de estudio original, no reproducción íntegra. Consulte la fuente para cada requisito, ampliación, condición y excepción. La aplicabilidad depende de la organización y de sus obligaciones.