Modelos de nivel de detección

Un modelo de madurez describe una progresión de niveles, pero cada uno elige qué progresión describe. El modelo de madurez de la caza de amenazas, que David Bianco publicó en 2015, describe la capacidad de cazar: qué datos se recolectan de rutina y qué análisis puede hacer el equipo. Los niveles de implementación del CSF 2.0 caracterizan el rigor con que una organización gobierna y gestiona sus riesgos de ciberseguridad. Una escala de la casa mide lo que su autor decidió medir.

Por eso un «nivel 3» no significa nada hasta que se dice de qué modelo y de qué dimensión. Abre modelos.

El modelo de la caza tiene cinco niveles, del cero al cuarto. Sube desde depender solo de alertas automáticas hasta convertir en detecciones automáticas lo que los analistas descubrieron. Dos ideas lo recorren: cuántos datos se recolectan de rutina y cuánto análisis puede hacer el equipo por cuenta propia.

Que el último nivel automatice no es adorno: es lo que separa a quien descubre algo una vez de quien deja una regla que lo vuelve a descubrir. Es el puente entre la caza y la ingeniería de detección. Mira la tabla hmm.

En la reunión se dijeron cuatro frases. Algunas usan bien una escala dentro de su modelo; otras la mezclan con otra o le atribuyen lo que no describe. Para detectarlo, pregunta de cada frase: ¿qué modelo cita? ¿Compara niveles de modelos distintos como si fueran lo mismo?

Los niveles del CSF 2.0 caracterizan el rigor de la gobernanza y la gestión de riesgos de toda la organización. No describen cuántas reglas tienen pruebas ni cuánta caza se hace. Usar el nivel del marco como evidencia de algo de una capacidad concreta es pedirle lo que no dice.

Valmora quiere evaluar su catálogo de reglas: fichas, pruebas, fuentes, calidad y cobertura. La escala de la caza habla de otra actividad y la del CSF habla de gobernanza. Hace falta una escala que describa lo que el equipo de ingeniería hace con sus detecciones, y dejar claro que es la propia.