Taxonomía de incidentes

TAXONOMIA DE INCIDENTES

Dependiendo del tipo de reporte recibido, éste se clasificará en una de las siguientes opciones:

• Contenido abusivo: incidentes que muestren signos evidentes de spam, contengan información no adecuada.
• Contenido malicioso: problemas relacionados con virus, troyanos, gusanos, spyware, bots e inyección de código.
• Obtención de información: los escaneos como reporte más común. También se consideran dentro de esta clasificación aquellos relacionados con los usos de sniffers, ingeniería social o ataques de fuerza bruta.
• Acceso/Intrusión: incidentes en los que se manifieste el claro acceso a cuentas privilegiadas, no privilegiadas, compromiso de aplicaciones y ataques de 0-day.
• Disponibilidad: ataques de denegación de servicio, tales como DoS, DDoS y sabotajes.
• Seguridad/Confidencialidad de la información: problemas relacionados con el acceso a información y/o modificación no autorizada.
• Fraude: reportes que tengan nexo con el uso no autorizado, derechos de autor, suplantación de identidad, phishing y robo de credenciales.
• Vulnerabilidad: Cualquier tipo de incidente provocado por la explotación de una vulnerabilidad en un sistema.

Para su correcta gestión, todos los incidentes deberán estar clasificados. La clasificación de incidentes de seguridad dependerá de varios factores, como:

• La naturaleza del incidente,
• La criticidad del/los sistema/s afectado/s,
• El número de sistemas afectados,
• El impacto que el incidente puede tener en la organización desde un punto de vista legal, de imagen pública, y de prestación de servicio,
• Los requerimientos legales y regulatorios.

Criterios para la determinación de la prioridad.

Para poder dar el correcto seguimiento, determinar la criticidad y asignar recursos, es esencial que para cada incidente se determine qué nivel de prioridad se le asigna.

Se emplearán una escala de criticidad con 5 niveles:

Tabla  – Niveles de Prioridad

1. Nivel de Prioridad Muy bajo

Incidentes en los que se tiene constancia que la amenaza está afectando al servicio, pero que los controles de seguridad están funcionando y contrarrestan adecuadamente la misma y por tanto su impacto es nulo o insignificante.

Se atienden en serie por orden de llegada, mientras no requiera la atención de un incidente de prioridad superior. Los incidentes de prioridad muy bajo se atienden en orden de registro.

1. Nivel de Prioridad Bajo

Incidentes en los que se tiene constancia que la amenaza está afectando al servicio y se sabe que ha tenido un impacto limitado en información considerada no crítica.

Se atienden en serie por orden de llegada, mientras no requiera la atención de un incidente de prioridad superior.

1. Nivel de Prioridad Normal

Incidentes en los que se tiene constancia que la amenaza está afectando al servicio y se sabe que ha tenido un impacto considerable (afectación a la confidencialidad, disponibilidad o integridad) en información considerada no crítica.

Se atienden en serie por orden de llegada, mientras no requiera la atención de un incidente de prioridad superior. Un incidente de prioridad normal puede adquirir la categoría Prioridad Alto si no recibe atención por un tiempo prolongado.

...