El equipo de control y la confidencialidad

El equipo azul en estas pruebas no es solo el centro de operaciones de seguridad: es todo el personal del banco y de sus proveedores que no forma parte del equipo de control y no sabe de la prueba. Está completamente fuera de la preparación y de la ejecución, y se le informa en el cierre, cuando pasa a ser protagonista.

El equipo de control es lo contrario: el grupo mínimo que sí lo sabe, elegido para poder decidir con criterio de riesgo y situado en lo alto de la cadena de escalado de incidentes, de modo que una detección acabe llegando a alguien que sabe que es la prueba. El gestor de la prueba valida quién entra y cualquier cambio posterior. Cuantas más personas lo sepan, más fácil es que la defensa se comporte distinto sin querer.

El equipo de control necesita enterarse de lo que detecta la defensa, pero eso se consigue con su posición en la cadena de escalado, no metiendo dentro a quien vigila. Una persona del equipo azul que sabe de la prueba deja de ser una muestra honesta de cómo responde el banco: reconoce al equipo rojo, o lo deja pasar, o avisa a sus compañeros.

Los resultados de estas pruebas describen con detalle cómo se podría atacar a una entidad concreta. Por eso TIBER-EU pide que todas las partes usen un nombre en clave para la entidad en la documentación y en las comunicaciones, en lugar de su nombre real. Lo elige la propia entidad al empezar. Un asunto de correo con el nombre del banco junto a «reglas de enfrentamiento» es justo lo que el nombre en clave quiere evitar si ese correo acaba donde no debe.

Que el equipo azul detecte al equipo rojo no es un fracaso de la prueba: es un resultado, y uno bueno para el banco. El problema es lo que viene después. Un incidente real obliga a acciones que en una prueba serían dañinas, como avisar a equipos externos de respuesta, a otras entidades o a la policía. El equipo de control fija de antemano un procedimiento de escalado para contener esas acciones sin delatar la prueba.

Cuando la detección es irreversible, el marco pide que el equipo de control proponga al gestor de la prueba cómo continuar, manteniendo el secreto, y que sea el gestor quien lo valide. En situaciones excepcionales, el responsable del equipo de control, tras consultar al gestor, puede suspender la prueba.