Colecciones públicas de playbooks, cómo evaluarlas

Los playbooks públicos son útiles como punto de partida: muestran qué piezas debe tener un playbook y qué pasos suelen olvidarse. Documentos como el de CISA sobre respuesta a incidentes y vulnerabilidades (publicado en noviembre de 2021) se escribieron para un tipo de organización y unas herramientas concretas; las colecciones comunitarias, para quien las escribió.

Por eso un playbook ajeno nunca se activa tal cual. Se evalúa con criterios fijados de antemano, se adapta a las herramientas, los roles y la normativa propios, se prueba en mesa y solo entonces pasa a ser un playbook de la organización, con dueño y versión propios.

La vigencia es el primer filtro: una colección puede seguir publicada y tener entradas sin una sola revisión desde que las herramientas, las amenazas y las normas cambiaron. El criterio de Aldeanova es un cambio en los últimos tres años.

Abre el laboratorio, lee criterios-aldeanova.txt y coleccion-indice.csv.

Una entrada sin licencia declarada no es una entrada libre: por defecto, un texto publicado sin licencia conserva todos los derechos de su autor, y copiarlo o adaptarlo para uso interno puede no estar permitido. Lo prudente es no adoptarla hasta que el autor aclare la licencia por escrito. Una licencia que solo permite uso no comercial tampoco sirve para una empresa sin leer sus condiciones.

Muchos playbooks públicos describen una respuesta ideal y no una prudente: bloquear, borrar y reiniciar en cuanto algo parece sospechoso. Un paso destructivo sin aprobación puede destruir justo la evidencia que el caso necesita o dejar sin buzón a una persona que solo tenía una alerta falsa. El laboratorio trae el extracto de una entrada como ejemplo; el índice marca qué entradas lo hacen.

Una entrada puede tener buen diseño y aun así asumir otra organización: otro proveedor, otros nombres de rol, otro plazo legal. Adaptar es corregir esas suposiciones sin tocar lo que sí funciona, y dejar anotado qué se cambió y por qué. De eso depende que la siguiente persona entienda el origen del texto.