Acceso sospechoso y presión para no reportar
El área de TI detecta que una cuenta de administrador de base de datos inició sesión a las 02:40 desde una IP fuera del país, descargó una tabla con datos de 120,000 clientes y cerró sesión 18 minutos después. La cuenta pertenece a un proveedor externo que da soporte. No hay registro de una ventana de mantenimiento autorizada esa noche. El gerente de TI pide 'borrar los logs de esa sesión para no alarmar al cliente ni a la auditoría' y sostiene que 'seguramente fue el proveedor haciendo su trabajo'. La empresa maneja datos personales y tiene obligaciones de notificación ante incidentes. El proveedor no ha confirmado ni negado la actividad.
1. ¿Debe accederse a la petición del gerente de borrar los logs? Justifica técnica y éticamente.
Read the worked answer
No. Borrar los logs sería inaceptable por varias razones:
- Destruye evidencia: los registros son la única prueba de qué se accedió, cuándo y desde dónde. Sin ellos no se puede determinar el alcance del incidente ni cumplir obligaciones de notificación.
- Legal y ético: con datos personales de 120,000 clientes y deber de notificación, ocultar el incidente agrava la exposición de la organización y de los afectados. La petición traslada el daño a terceros que no pueden decidir por sí mismos.
- Técnico: 'seguramente fue el proveedor' es una hipótesis sin verificar. No hay ventana autorizada, la IP es externa y la sesión fue breve y de madrugada: indicios que exigen investigación, no supresión.
Acción correcta: preservar los logs (idealmente copiarlos a un medio con control de acceso), documentar la petición y escalarla al responsable de seguridad y a la función legal/cumplimiento. Si el gerente insiste, el camino es el canal de denuncia, no obedecer.
2. Describe la secuencia de respuesta a incidentes que debería ejecutarse en las primeras 24 horas.
Read the worked answer
Secuencia priorizada por contención y evidencia:
- Preservar evidencia: asegurar y copiar logs de la base de datos, del sistema de autenticación y de red; registrar cadena de custodia. No modificar el entorno antes de capturar.
- Contener: deshabilitar o rotar la credencial del proveedor, revocar sesiones activas y restringir el acceso remoto a rangos autorizados. Verificar si la cuenta tiene otros privilegios.
- Confirmar con el proveedor: solicitar por escrito si realizó la actividad y con qué autorización. La ausencia de ventana autorizada ya es un hallazgo.
- Determinar alcance: qué tabla y campos se descargaron, si hubo otros accesos desde la misma IP o cuenta, y si hay indicios de movimiento lateral.
- Evaluar obligación de notificación: con la función legal, determinar si el incidente activa el deber de informar a clientes y autoridades según la normativa aplicable, y en qué plazo.
- Corregir y aprender: cuentas de proveedor con privilegios mínimos, acceso just-in-time, autenticación multifactor y alertas por accesos fuera de horario o país.
La contención no debe destruir evidencia; preservar y contener van primero y en ese orden.