Retrospectiva de Operaciones de Ciberseguridad

Formato de la retrospectiva de Operaciones de Ciberseguridad

Amenazas e incidentes

¿Qué amenazas o incidentes gestionamos en este ciclo?

Enumerad las alertas, los eventos y los incidentes que el equipo gestionó en este periodo. Pide a todos que se ciñan a qué pasó, cuándo y a qué afectó, sin señalar culpables. Así todo el mundo parte de los mismos hechos antes de hablar de lo que funcionó.

Controles y logros

¿Qué defensas, herramientas o procesos funcionaron bien?

Nombrad los controles, la automatización y los traspasos que os protegieron, y concretad qué herramienta o proceso hizo el trabajo. En un equipo de seguridad es fácil saltarse los logros, y dejarlos por escrito os dice qué debéis seguir haciendo.

Brechas y vulnerabilidades

¿Dónde tuvimos puntos ciegos o debilidades?

Aquí salen a la luz las carencias de detección, los límites de las herramientas, las fricciones en los procesos y los riesgos sin parchear. Mantén el enfoque sin culpables para que la gente plantee los temas incómodos. Lo que aparece aquí suele marcar la mayor parte del plan de acción.

Acciones y bastionado

¿Qué haremos para mejorar nuestra postura de seguridad?

Convertid las brechas en acciones con un responsable y una fecha límite. Ordenadlas por probabilidad e impacto, y vinculad cada acción a la brecha que cierra para poder comprobar el progreso la próxima vez.

Cuándo utilizar este estudio retrospectivo

• Después de un incidente o una brecha de seguridad importante, para recoger las lecciones sin buscar culpables.
• Al final de una rotación de guardias o de turnos del SOC, para revisar las alertas y los traspasos.
• Cada mes o cada trimestre, para seguir las brechas recurrentes y comprobar si las soluciones del ciclo anterior se han mantenido.
• Después de un ejercicio de simulación, una prueba de red team o un test de penetración, para acordar qué significan los hallazgos para vuestro equipo.
• Cuando habéis implantado nuevas herramientas o prácticas de SecOps y queréis comprobar que funcionan.

Preguntas sugeridas para romper el hielo

• Si fueras hacker por un día, ¿cuál sería tu arma preferida y por qué?
• ¿Cuál es el intento de phishing más creativo que has visto y estuvo a punto de funcionar?

¿Le gustaría que su equipo realizara un ejercicio de calentamiento, en lugar de limitarse a responder en voz alta? Eche un vistazo a los rompehielos gratuitos →

Ideas y consejos para su reunión retrospectiva

• Mantén un enfoque sin culpables. Habla de sistemas y procesos, no de personas, para que la gente reconozca errores y casi incidentes.
• Relaciona los hallazgos con un marco como MITRE ATT&CK o NIST CSF para que sea fácil seguir las mejoras a lo largo del tiempo.
• Invita a analistas, equipos de respuesta, ingenieros y a un responsable. Cada rol ve puntos ciegos que los demás pasan por alto.
• Pide que primero se añadan notas en privado o de forma anónima, para que los analistas junior puedan señalar problemas sin someterse a la antigüedad.
• Limita el tiempo de cada columna y reserva la última parte de la sesión para convertir las brechas en acciones con responsables y fechas.
• Haz seguimiento de las acciones de una retrospectiva a otra para que las vulnerabilidades recurrentes no se arrastren sin que nadie lo note.

Preguntas frecuentes