Su numero maximo de escenarios es , si requiere más escenarios póngase en contacto coninfo@cci-es.org
Escenario creado
Escenario almacenado correctamente
Importación de proyecto RECIN
Seleccione el proyecto RECIN que desea importar:
Gestión de Perfiles
¿Desea ir a la gestión de perfiles y abandonar la edición de este escenario?. Sus cambios en este escenario no se guardarán, si desea conservarlos pulse Cerrar en esta ventana y guárdelos previamente.
Características del perfil
Acciones de identificación. Identificación
Acciones de identificación. Protección
Ciclo de vida de Gestión de respuesta al Incidente. Preparación
Ciclo de vida de Gestión de respuesta al Incidente. Detección
Ciclo de vida de Gestión de respuesta al Incidente. Contención
Ciclo de vida de Gestión de respuesta al Incidente. Post-incidente
Ciclo de vida de Gestión de respuesta al Incidente. Preparación
Preparación de equipo de gestión de crisis
Existe un Responsable de Gestión de Crisis
Ciclo de vida de Gestión de respuesta al Incidente. Detección
Revisión de logs
Todos los dispositivos estan sincronizados en horario
Comprobación de configuraciones de respaldos vs configuraciones actuales
Se verifica el estado de las configuraciones de respaldo
Revisión de carga excesiva en disco o memoria
Existe un sistema centralizado de monitoreo de la salud de los servidores
Revisión de las comunicaciones
Se ha empleado una herramienta de filtrado de sitios maliciosos
Ciclo de vida de Gestión de respuesta al Incidente. Contención
Bloqueo de conexiones externas
Existe un sistema centralizado de monitoreo de las comunicaciones
Se bloquean las conexiones externas que no sean esenciales
Restauración de sistemas específicos
Existe documentación sobre los pasos a seguir para la restauración del sistema
Recuperación de procesos
Se integran los equipos recuperados según procedimientos de proceso
Se revisa de estabilidad en las comunicaciones
Ciclo de vida de Gestión de respuesta al Incidente. Post-incidente
Lecciones aprendidas
Se definen y documentan acciones operativas (parcheado, backups, hardening de configuraciones...)
Ciclo de vida de Gestión de respuesta al Incidente. Preparación
Preparación de equipo de gestión de crisis
Existe un Responsable de Gestión de Crisis
Existen Responsables de Comunicación (Interna y externa)
Se han definido los equipos de IT y OT para respuesta a incidentes
Se ha definido un proceso de escalamiento en caso de crisis con roles y responsabilidades
Preparación de comunicación con personal de planta
Se ha designado un responsable para la gestión de comunicación interna
En cada planta se identificado al responsable para la gestión del incidente
Preparación de comunicación externa
Se han identificado a los interlocutor(es) y organismos a los que se debe notificar en cada caso
Recopilar fuentes de información mínima para notificar el incidente
Preparación de copia de sistemas
Existe un procedimiento formal de resguardo de los sistemas
Se realiza una verificación de intengridad de las copias realizadas
Se analiza y monitorea la ejecución de las copias en busca de posibles problemas
Preparación de análisis forense
Se definió un equipo de trabajo para la acción Forense con roles y responsabilidades claras
Existe una metodología definida, que incluye alcance y objetivos
Se tiene relación con las fuerzas de seguridad y se conoce el alcance legislativo en cuestión forense
Ciclo de vida de Gestión de respuesta al Incidente. Detección
Revisión de logs
Se protegen los logs para evitar su modificación y preservar su integridad
Todos los dispositivos estan sincronizados en horario
Existe una herramienta de correlación de logs en base al tipo de incidente
Se cuenta con herramientas de centralización de evidencias
Revisión de cuentas inusuales y ficheros sospechosos
Existen herramientas capaces de detectar comportamientos sospechosos en cuentas o ficheros
Se encuentran implementados sistemas capaces de analizar las comunicaciones para detectar anomalías (IDS)
Se encuentran implementados sistemas capaces de analizar las comunicaciones para detectar anomalías (IPS)
Revisión de carga excesiva en disco o memoria
Existe un sistema centralizado de monitoreo de la salud de los servidores
El sistema centralizado de monitoreo de salud incluye a todos los servidores de producción
Se verifica periodicamente la salud de los servidores
Revisión de las comunicaciones
Existe un sistema centralizado de monitoreo de las comunicaciones
Se ha empleado una herramienta de filtrado de sitios maliciosos
Comunicación
Existe una coordinación interna del equipo de gestión de incidentes para las labores de detección
El equipo de gestión de incidentes definió los procedimientos de actualización con los responsables encargados de la comunicación interna y externa de la empresa
Ciclo de vida de Gestión de respuesta al Incidente. Contención
Bloqueo de conexiones externas
Existe un sistema centralizado de monitoreo de las comunicaciones
Se bloquean las conexiones externas que no sean esenciales
Durante el incidente se bloquean todas las comunicaciones en equipos afectados
Contención de sistemas infectados
Se ha valorado el impacto del aislamiento de un sistema en caso de ser afectado
Restauración de sistemas específicos
Existe documentación sobre los pasos a seguir para la restauración del sistema
Se verifica la integridad de las restauración de manera inmediatia y automática
Se ejecutan de manera periódica pruebas de restauración en un laboratorio
Se analiza y monitorea la restauración en busca de posibles problemas
Reinstalación de sistemas
Se documentan los pasos a ejecutar
Se realizan comprobaciones en entornos de laboratorio la reinstalación
Se realizan una reinstalación
Recuperación de procesos
Se integran los equipos recuperados según procedimientos de proceso
Se revisa la estabilidad de sistemas tras la recuperación
Se revisa de estabilidad en las comunicaciones
Actualización de estado de situación
Existe una coordinación interna del equipo de gestión de incidentes para las labores de contención
Esta definido en qué momentos se actualizará a los organismos externos sobre las medidas de contención y sus resultados, y quién será el responsable
Ciclo de vida de Gestión de respuesta al Incidente. Post-incidente
Análisis de impacto en procesos
Se analizan los impactos de las interrupciones de los procesos
Se analizan los impactos en la infraestructura (daños no recuperables, tiempos de recuperación)
Análisis de causa raíz del incidente
Se tiene la capacidad de realizar un análisis forense para la Identificación del acceso
Se tiene la capacidad de realizar un análisis forense - Identificación de vulnerabilidades explotadas
Se realizan análisis de tiempos de detección, reacción, contención y restauración de manera periódica
Lecciones aprendidas
Se definen y documentan acciones operativas (parcheado, backups, hardening de configuraciones...)
Se definen y documentan acciones que requieren inversión (sistemas de monitorización, acciones sobre obsolescencia, reducción de puntos únicos de fallo)
Ciclo de vida de Gestión de respuesta al Incidente. Preparación
Preparación de equipo de gestión de crisis
Existe un Responsable de Gestión de Crisis
Existen Responsables de Comunicación (Interna y externa)
Se han definido los equipos de IT y OT para respuesta a incidentes
Se ha definido un proceso de escalamiento en caso de crisis con roles y responsabilidades
Existe un procedimiento formal para declarar una crisis, la activación de los distintos miembros, y de las distintas comunicaciones
Preparación de comunicación con personal de planta
Se ha designado un responsable para la gestión de comunicación interna
Se ha definido un canal de comunicaciones seguro y uno alternativo
En cada planta se identificado al responsable para la gestión del incidente
Existen un procedimiento formal de comunicación
Preparación de comunicación externa
Se ha designado un responsable para ejecutar la notificación externa a entidades
Se ha definido un canal de comunicación único, controlado y verificado, para comunicaciones con terceros
Se han identificado a los interlocutor(es) y organismos a los que se debe notificar en cada caso
Recopilar fuentes de información mínima para notificar el incidente
Se han creado plantillas con mensajes en base a tipos de incidentes críticos (planta, trabajadores, entorno, financiero..)
Preparación de copia de sistemas
Existe un procedimiento formal de resguardo de los sistemas
Se realiza una verificación de intengridad de las copias realizadas
El contenido de las copias es validado con los responsables de las áreas
Se analiza y monitorea la ejecución de las copias en busca de posibles problemas
Preparación de análisis forense
Se definió un equipo de trabajo para la acción Forense con roles y responsabilidades claras
Existe una metodología definida, que incluye alcance y objetivos
Se han adquirido las herramientas adecuadas y formado al equipo de trabajo
Se tiene relación con las fuerzas de seguridad y se conoce el alcance legislativo en cuestión forense
Ciclo de vida de Gestión de respuesta al Incidente. Detección
Revisión de logs
Se protegen los logs para evitar su modificación y preservar su integridad
Todos los dispositivos estan sincronizados en horario
Existe una herramienta de correlación de logs en base al tipo de incidente
Se cuenta con herramientas de centralización de evidencias
Revisión de cuentas inusuales y ficheros sospechosos
Existen herramientas capaces de detectar comportamientos sospechosos en cuentas o ficheros
Se encuentran implementados sistemas capaces de analizar las comunicaciones para detectar anomalías (IDS)
Se encuentran implementados sistemas capaces de analizar las comunicaciones para detectar anomalías (IPS)
Comprobación de configuraciones de respaldos vs configuraciones actuales
Se verifica el estado de las configuraciones de respaldo
Se documenta las revisiones realizadas
Se analiza y documenta el impacto de actualizar configuraciones para resolver un incidente
Se revisan las configuraciones actuales en los activos de interés
Revisión de carga excesiva en disco o memoria
Existe un sistema centralizado de monitoreo de la salud de los servidores
El sistema centralizado de monitoreo de salud incluye a todos los servidores de producción
Se verifica periodicamente la salud de los servidores
Se monitorean los procesos y servicios claves de la organización
Revisión de las comunicaciones
Existe un sistema centralizado de monitoreo de las comunicaciones
Se ha empleado una herramienta de filtrado de sitios maliciosos
Comunicación
Existe una coordinación interna del equipo de gestión de incidentes para las labores de detección
El equipo de gestión de incidentes definió los procedimientos de actualización con los responsables encargados de la comunicación interna y externa de la empresa
Ciclo de vida de Gestión de respuesta al Incidente. Contención
Bloqueo de conexiones externas
Existe un sistema centralizado de monitoreo de las comunicaciones
Se han identificado todas las comunicaciones básicas necesarias para que el proceso industrial funcione correctamente
Se bloquean las conexiones externas que no sean esenciales
Durante el incidente se bloquean todas las comunicaciones en equipos afectados
Contención de sistemas infectados
Se ha valorado el impacto de prescindir de un servicio si está afectado
Se ha valorado la posibilidad de reducir funcionalidad de un software o un componente en caso de ser afectado
Se ha valorado el impacto del aislamiento de un sistema en caso de ser afectado
Restauración de sistemas específicos
Existe documentación sobre los pasos a seguir para la restauración del sistema
Se verifica la integridad de las restauración de manera inmediatia y automática
Se ejecutan de manera periódica pruebas de restauración en un laboratorio
Se analiza y monitorea la restauración en busca de posibles problemas
Reinstalación de sistemas
Se descargan las últimas actualizaciones que soporten los equipos
Se documentan los pasos a ejecutar
Se realizan comprobaciones en entornos de laboratorio la reinstalación
Se valoriza el impacto y riesgos de una reinstalación
Se realizan una reinstalación
Recuperación de procesos
Se integran los equipos recuperados según procedimientos de proceso
Se revisa la estabilidad de sistemas tras la recuperación
Se revisa de estabilidad en las comunicaciones
Se revisa la existencia de réplicas de malware no detectado
Se analiza el impacto de equipos restaurados sin los últimos cambios de versión guardados
Actualización de estado de situación
Existe una coordinación interna del equipo de gestión de incidentes para las labores de contención
Esta definido en qué momentos se actualizará a los organismos externos sobre las medidas de contención y sus resultados, y quién será el responsable
Ciclo de vida de Gestión de respuesta al Incidente. Post-incidente
Análisis de impacto en procesos
Se analizan los impactos de las interrupciones de los procesos
Se analizan los impactos en la infraestructura (daños no recuperables, tiempos de recuperación)
Análisis de causa raíz del incidente
Se tiene la capacidad de realizar un análisis forense para la Identificación del acceso
Se tiene la capacidad de realizar un análisis forense - Identificación de vulnerabilidades explotadas
Se tiene la capacidad de crear y analizar de indicadores de compromiso
Se tiene la capacidad de establecer reglas para deteccion basadas en los IoC
Se realizan análisis de tiempos de detección, reacción, contención y restauración de manera periódica
Lecciones aprendidas
Se definen y documentan acciones operativas (parcheado, backups, hardening de configuraciones...)
Se definen y documentan acciones de formación y concienciación (procedimientos, pildoras, ciberejercicios periódicos)
Se definen y documentan acciones que requieren inversión (sistemas de monitorización, acciones sobre obsolescencia, reducción de puntos únicos de fallo)
Si procede, aquí puede agregar hechos relevantes, áreas impactadas, tipo de información comprometida que afecte a terceros, previsión de próximos pasos, etc.
