Qué es preparación y qué es respuesta

La figura de la Rev 3 tiene niveles. Abajo está la preparación (Govern, Identify y Protect): actividades amplias de gestión del riesgo que existen aunque no haya ningún incidente y que además sostienen la respuesta. Arriba está la respuesta propiamente dicha (Detect, Respond y Recover). En medio, la mejora continua, que recoge lo aprendido en todas.

Dicho de otra forma: parchear un servidor, mantener un inventario de equipos o decidir quién puede declarar un incidente son preparación. Aislar un equipo comprometido es respuesta.

Abre registro-semanal.csv en la estación. Son seis tareas de una semana de Nereo, cada una con la función de CSF 2.0 que le asignó el equipo y las horas que consumió. Una sola de ellas es respuesta a un incidente real; las demás son preparación, aunque se hagan con herramientas parecidas.

Lee comentario-de-gerencia.txt. La gerente concluye que, si no hubo incidentes, el equipo de respuesta no tiene nada que hacer. El error es tomar la preparación por inactividad: las horas de parchear, probar copias, entrenar al personal o aclarar quién declara un incidente no se ven cuando todo sale bien, pero son las que hacen que salga bien.

Hay además un matiz de gobierno: recortar esas horas no ahorra, aplaza el costo hasta el día del incidente.

Para que una conversación de presupuesto sea honesta hace falta el número. Con el registro delante, suma las horas de las tareas cuya función es Govern, Identify o Protect y deja fuera las de respuesta.