Coordinación con el equipo de respuesta del gobierno

En Colombia, la Resolución 500 de 2021 del Ministerio TIC (actualizada después) adopta el modelo de seguridad y privacidad de la información para las entidades públicas. Entre otras cosas, les pide revisiones periódicas de seguridad que pueden incluir análisis de vulnerabilidades y pruebas de penetración, y un procedimiento de gestión de incidentes dirigido por el responsable de seguridad digital de cada entidad. Los incidentes clasificados como graves o muy graves se reportan al CSIRT de Gobierno en cuanto se identifican; los menores, después de gestionarlos. Cuando un incidente lo requiere, se puede escalar a ColCERT, el equipo nacional, a través del CSIRT sectorial.

Para el evaluador, la consecuencia es clara: clasificar y reportar un incidente es de la entidad, no del contratista que lo vio.

El aviso solo sirve si es completo. Un origen que el equipo usó y no declaró produce alertas que el centro de monitoreo no puede atribuir a la prueba, y lo obliga a tratarlas como un posible ataque: gasta horas de quien vigila y erosiona la confianza en el aviso. Compara la bitácora del equipo con el aviso.

Ahora el cruce inverso, el que más importa: entre las alertas del periodo, ¿alguna no se explica por la prueba? Para atribuir una alerta a la prueba tienen que coincidir el origen declarado (o reconocido en la bitácora) y la ventana horaria. Si falla cualquiera de los dos, la alerta queda sin explicar y se trata como posible incidente real.

Ver indicios de un incidente real durante una prueba cambia el papel del evaluador: deja de evaluar ese sistema y pasa a ser un testigo que debe avisar rápido y sin contaminar la escena. Seguir investigando por su cuenta puede borrar rastros, y avisar a terceros salta el procedimiento de la entidad.