La política de respuesta, qué debe decir

La política fija compromiso, alcance, definiciones, roles y autoridades, y criterios generales. El plan de respuesta es la hoja de ruta con la que se pone en marcha la capacidad. Los procedimientos (a menudo en forma de playbooks) explican cómo se hace cada tarea técnica, y la Rev 3 recomienda probarlos o ejercitarlos para comprobar que son exactos y para formar a quien llega.

La política responde «quién puede decidir qué y bajo qué criterios». El procedimiento responde «qué se hace paso a paso».

Abre la estación. En elementos-de-politica.txt están los siete elementos de referencia, cada uno con su código y en politica-nereo.txt la política vigente, con seis secciones numeradas. Compara una con otra. Hay un elemento que no aparece en ninguna sección, ni siquiera de forma parcial.

Hay otro elemento que sí aparece, pero incompleto: la sección de roles dice quién coordina y quién opera, y no dice quién puede ordenar desconectar o apagar activos. El acta-incidente-agosto.txt cuenta lo que ocurrió con un servidor de pedidos comprometido.

Calcula cuántos minutos pasaron desde que se confirmó el compromiso hasta que se dio la autorización para desconectarlo.

El comentario del analista en el acta dice dónde duele: la política dice quién coordina pero no quién puede ordenar desconectar o apagar. La corrección no es escribir un procedimiento nuevo, ni pedir más rapidez. Es una autoridad delegada por escrito antes del incidente, con nombre de rol y, si conviene, un suplente.

La Rev 3 recuerda que, cuando un proveedor hace parte de la detección o la respuesta, es un modelo de responsabilidad compartida: las responsabilidades deben quedar claras en el contrato, incluidos los flujos de información, la coordinación y la autoridad para actuar en nombre de la organización, y también las restricciones (por ejemplo, qué puede compartir con otros clientes).

Lee contrato-vigilancia.txt: define cuándo avisa el proveedor y que no actúa sobre los equipos, pero deja algo importante sin definir.