Lecciones aprendidas que producen cambios

El CSF 2.0 reúne este trabajo en la categoría de mejora (ID.IM): las mejoras se identifican a partir de evaluaciones, pruebas y ejercicios, y de la ejecución real de los procesos, y los planes de respuesta se mantienen y se mejoran (ID.IM-04). Para que eso ocurra, cada lección tiene que terminar en un cambio con cuatro cosas: un responsable, una fecha límite, un ticket donde se sigue y una medida de éxito con la que alguien distinto comprueba que se hizo.

Sin las cuatro, la lección es un buen deseo. Y sin una medida de éxito, aunque tenga las otras tres, se cerrará el ticket diciendo «hecho» sin que nadie pueda verlo.

De las siete lecciones del borrador, tres no tienen ninguna de las cuatro cosas, tres las tienen todas y una tiene responsable, fecha y ticket, pero no dice cómo se sabrá que se hizo. Es la más peligrosa de las siete, porque parece completa y se cerrará sin que nadie la compruebe.

Una lección sin responsable es una lección que nadie va a hacer. Antes de cerrar la reunión se cuenta cuántas quedan sin dueño, y no se cierra hasta que alguien las toma o el grupo decide con franqueza descartarlas.

Las lecciones de un caso también salen de sus números. Uno de los más reveladores es el tiempo entre la primera actividad conocida del atacante y el momento en que el SOC lo detectó, porque dice cuánto tiempo estuvo la empresa sin verlo. Se mide en minutos, entre dos horas de la misma zona.

Una de las lecciones cambia el manual: antes de aislar un servidor virtual se toma una instantánea con memoria. Los cambios al plan de respuesta, y a otros planes de ciberseguridad que afectan la operación, tienen su lugar propio en el marco: se establecen, se comunican, se mantienen y se mejoran.