Marco legal y reporte al CSIRT nacional

Las entidades públicas de casi todos los países tienen la obligación de reportar sus incidentes a un equipo nacional de respuesta. En Colombia, por ejemplo, la Resolución 500 de 2021 del Ministerio TIC fija las etapas de gestión de los incidentes de seguridad digital y el reporte de los sujetos obligados al CSIRT de Gobierno y a ColCERT, el equipo nacional; y cuando hay datos personales, el régimen general es la Ley 1581 de 2012, que vigila la Superintendencia de Industria y Comercio. Las dos obligaciones son distintas y las lleva jurídico con seguridad digital, no el analista por su cuenta.

El reporte al CSIRT no es una confesión ni un trámite para cubrirse. Sirve para que alguien que ve a todas las entidades a la vez junte piezas: si tres ministerios reportan la misma cuenta de correo externo en una semana, ya no son tres incidentes sueltos sino una campaña, y el CSIRT puede avisar a las entidades que todavía no la han visto.

Abre la consola y ejecuta SELECT * FROM clasificacion y SELECT * FROM hechos_del_incidente. El procedimiento de Cordillana clasifica por lo que el incidente afecta: cuántas entidades, cuántas personas, cuánto tiempo sin servicio. Los niveles se recorren de arriba abajo y vale el primero cuyo criterio se cumpla, aunque sea uno solo.

Lee los hechos uno por uno contra cada criterio, de arriba abajo. Que los pagos sigan funcionando no baja el nivel si otro criterio se cumple.

Ejecuta SELECT * FROM plazos. Cada nivel tiene un plazo para el primer reporte y un punto desde el que se cuenta. Contar desde el momento equivocado es el error más común: el expediente tiene dos horas, la de detección y la de clasificación, y el procedimiento dice cuál vale.

El primer reporte se envía aunque la investigación no haya terminado; lo que falta se completa en el informe final.

Ejecuta SELECT * FROM campos_obligatorios y SELECT * FROM borrador_reporte. El borrador lo preparó la oficina de seguridad con prisa. Compáralo campo por campo con el formulario: además del nivel, que todavía dice «por completar», falta un campo entero, y es justo el que permite al CSIRT y a otras entidades buscar lo mismo en sus registros.

El campo datos_afectados del borrador dice que se adjunta la hoja con los 14300 beneficiarios consultados. El formulario pide otra cosa. Reportar no autoriza a mover datos personales de un lado a otro: el CSIRT necesita saber qué tipo de datos y cuántas personas, no quiénes son.