Respuesta a incidentes
Este dominio examina si el candidato sabe ordenar las acciones ante un incidente, preservar evidencia y cerrar el ciclo con mejoras verificables.
Ciclo de respuesta (NIST SP 800-61)
- Preparación: política, roles, playbooks, contactos, herramientas, respaldos probados y formación.
- Detección y análisis: fuentes como SIEM, EDR y reportes de usuarios; validar la alerta, descartar falsos positivos y asignar severidad.
- Contención, erradicación y recuperación: contención inmediata (aislar), contención a largo plazo, eliminación de la persistencia, restauración desde respaldo verificado y monitoreo de recaída.
- Actividades post-incidente: causa raíz, lecciones aprendidas y actualización de controles y del playbook.
Evidencia y orden de volatilidad
De lo más volátil a lo menos: registros y caché de CPU, memoria RAM, conexiones y estado de red, procesos, disco, logs remotos y respaldos. No se apaga el equipo: se aísla de la red. Se documenta cada acción con hora, responsable y resultado, se mantiene la cadena de custodia y se calcula hash SHA-256 de la imagen; se analiza el duplicado, no el original. Métricas útiles: MTTD, MTTR y tiempo hasta la contención. La comunicación se centraliza en un solo canal con dirección y asesoría legal, sin filtrar detalles a la prensa.
Ejemplo razonado
Ransomware cifra archivos compartidos y aparecen notas de rescate. Primero se aíslan los equipos afectados sin apagarlos, para conservar la memoria; se identifica la cuenta y el vector (por ejemplo RDP expuesto o macro en correo); se preservan imágenes y logs; se verifica que los respaldos offline estén íntegros; se erradica la persistencia y se rotan credenciales antes de reconectar; se restaura por fases y se monitorea. No se paga el rescate. Al cierre se documenta la causa raíz y se ajusta el control que falló.
Errores que cuestan puntos
Apagar el equipo y perder la RAM. Borrar el malware antes de documentarlo. Restaurar sin erradicar la persistencia. Analizar el disco original en lugar de una copia. Confundir evento con incidente. Notificar por canales informales o prometer plazos sin confirmar el alcance real.
Respuesta a incidentes, ética y marco legal
Se evalúa el comportamiento profesional del técnico y el marco jurídico que convierte una mala decisión técnica en una falta disciplinaria, civil o penal.
Ética aplicada
Toda prueba requiere autorización escrita con alcance definido: sistemas incluidos y excluidos, ventanas de tiempo, contacto de emergencia y límites de explotación. Rigen la confidencialidad de los hallazgos, la divulgación responsable (reportar primero al fabricante, respetar el plazo de embargo, no publicar exploits funcionales), la prohibición de dañar y la trazabilidad de cada acción. Un conflicto de interés se declara, no se gestiona en silencio.
Marco legal en República Dominicana
- Ley 53-07 sobre Crímenes y Delitos de Alta Tecnología: tipifica acceso ilícito a sistemas, interceptación, sabotaje, fraude electrónico, suplantación y violación de correspondencia, con agravantes cuando el autor es responsable de sistemas o funcionario.
- Ley 172-13 sobre protección de datos personales: consentimiento, finalidad, calidad y seguridad de los datos, más derechos de acceso, rectificación, cancelación y oposición.
- Ley 65-00 de Derecho de Autor y Ley 20-00 de Propiedad Industrial: el software y las marcas quedan protegidos.
- Código Penal y normativa de telecomunicaciones (INDOTEL) para servicios y contenidos; contratos, acuerdos de confidencialidad y normativa sectorial (salud, financiero).
Ejemplo razonado
Un técnico recibe por correo credenciales de un empleado y las usa para entrar al sistema de RR. HH. «para comprobar si eran válidas». Existe acceso a un sistema sin autorización del titular aunque la contraseña funcione; el consentimiento no se presume y el interés de «probar» no es justificación. Lo correcto era reportar el hallazgo, recomendar el cambio de credencial y no iniciar sesión. Consecuencias posibles: disciplinarias, civiles y penales bajo la Ley 53-07, además del daño a la cadena de custodia si el acceso alteró registros.
Errores que cuestan puntos
Confundir legal con ético: algo puede ser legal y aun así improcedente. Creer que la autorización verbal basta. Suponer que un pentest autorizado cubre sistemas de terceros, datos de producción o cuentas de empleados. Retener datos personales sin finalidad. Publicar una vulnerabilidad sin coordinación.