ne Digital completó el programa de certificación de Digital Forensics & Incident Response (DFIR) y ahora forma parte del panel de proveedores aprobados dentro del programa Coverholder de Lloyd's of London, con certificación hasta el nivel de Severidad 3.
Muy pocos proveedores de servicios gestionados cuentan con esta designación. Y son aún menos los que han alcanzado el nivel de Severidad 3.
Para las firmas de private equity y empresas de portafolio a las que atendemos en Norteamérica y Europa, esta certificación ayuda a resolver una pregunta que muchas organizaciones descubren únicamente cuando ya están enfrentando un incidente:
Cuando ocurre un ciberataque, ¿el equipo que mejor conoce su entorno está realmente autorizado para actuar?
Cuando ocurre un incidente de ciberseguridad, la primera llamada suele dirigirse al proveedor de TI. Sin embargo, bajo muchas pólizas de ciberseguro, esto puede generar un problema.
Las aseguradoras pueden requerir que determinadas actividades de respuesta a incidentes sean realizadas por proveedores incluidos en sus paneles aprobados.
Cuando un proveedor de servicios gestionados interviene sin la autorización correspondiente, pueden surgir consecuencias importantes: la reclamación podría verse afectada debido a una respuesta no autorizada, la aseguradora podría ejercer acciones de subrogación contra el proveedor y determinados costos generados antes de presentar formalmente el reclamo podrían quedar fuera de la cobertura.
Como resultado, el equipo que mejor conoce los sistemas de información de la organización puede verse obligado a detener su intervención.
Posteriormente debe incorporarse un equipo externo de respuesta a incidentes, muchas veces horas o incluso días después. Mientras tanto, los sistemas pueden continuar comprometidos, la evidencia digital puede deteriorarse y el tiempo de interrupción del negocio continúa aumentando.
El incidente podía ser manejable. La estructura de respuesta terminó haciéndolo más costoso.
Esta certificación busca cerrar esa brecha.
techrug es un Coverholder de Lloyd's of London con autoridad delegada para suscribir coberturas de ciberseguro y administrar programas de análisis forense digital y respuesta a incidentes en representación de su sindicato de Lloyd's.
Su programa de certificación DFIR capacita y evalúa a proveedores tecnológicos mediante ejercicios tabletop enfocados en identificar, clasificar, documentar, escalar y coordinar incidentes de ciberseguridad, además de apoyar a los clientes durante procesos de recuperación alineados con los requerimientos de sus seguros.
Los proveedores que completan el programa son incorporados al panel como proveedores aprobados.
Este modelo fortalece la gestión de incidentes, ya que permite establecer previamente responsabilidades, procedimientos de escalamiento, documentación y coordinación.
En la práctica, estas capacidades son similares a las que una organización espera encontrar en un CSIRT (Computer Security Incident Response Team) o equipo de respuesta a incidentes de seguridad informática: detectar qué ocurrió, determinar su alcance, preservar evidencia, contener el incidente y coordinar la recuperación.
El modelo se basa además en dos pólizas que funcionan de manera coordinada. ne Digital mantiene su propia cobertura de responsabilidad cibernética a través del programa. Cuando un cliente también posee una póliza techrug CyberBreach™, ambas partes están aseguradas dentro del mismo programa Coverholder.
Esta alineación reduce el conflicto que puede surgir en un modelo convencional cuando el proveedor y el cliente están asegurados por compañías diferentes y permite que ne Digital inicie las actividades de remediación autorizadas dentro del alcance correspondiente.
El programa acredita a los proveedores según la severidad de los incidentes y cada nivel se obtiene de manera independiente.
La Severidad 4 comprende incidentes de menor riesgo, entre ellos actividades de phishing, inicios de sesión sospechosos, dispositivos móviles comprometidos, alertas de endpoints o casos aislados de malware.
La Severidad 5 corresponde a eventos informativos que requieren revisión, monitoreo y documentación.
ne Digital está certificado hasta la Severidad 3, correspondiente a incidentes de riesgo medio que pueden incluir:
Estos son precisamente algunos de los incidentes que las empresas de tamaño medio pueden experimentar con mayor frecuencia.
En escenarios como Business Email Compromise o compromiso de cuentas privilegiadas, cada hora de retraso puede traducirse directamente en mayores pérdidas financieras.
Los incidentes de Severidad 1 y 2 —considerados críticos o de alto riesgo— continúan siendo canalizados hacia asesores legales y firmas especializadas en investigación forense según las condiciones de la póliza, mientras ne Digital coordina como proveedor del panel que ya conoce el entorno tecnológico del cliente.
La designación es poco común porque exige combinar capacidades que no siempre se encuentran dentro de un mismo proveedor de servicios gestionados.
Una de ellas es mantener una relación de suscripción adecuada. El proveedor debe contar con su propia cobertura de responsabilidad cibernética y errores y omisiones a través del sindicato.
Esto implica que los controles de ciberseguridad, procesos operativos y antecedentes de reclamaciones del propio proveedor pueden estar sujetos a revisión antes de acceder al programa.
Pero la preparación para responder a ciberataques también requiere capacidades operativas.
Una estrategia madura de respuesta no puede comenzar después de que ocurre un incidente. Debe existir previamente una arquitectura que permita detectar señales, analizar ciberamenazas, investigar comportamientos sospechosos y preservar evidencia.
Por ello, la ciberseguridad moderna combina procesos humanos con tecnologías como SIEM, SOAR, EDR y XDR.
Un SIEM permite centralizar y correlacionar eventos provenientes de diferentes sistemas de información. Las plataformas SOAR pueden apoyar la automatización y orquestación de determinados procesos de respuesta. Las tecnologías EDR proporcionan visibilidad sobre endpoints, mientras que XDR permite correlacionar señales provenientes de múltiples capas del entorno.
Estas capacidades pueden complementarse con procesos de inteligencia de amenazas para identificar indicadores, tácticas y comportamientos asociados con nuevas ciberamenazas.
Un programa efectivo de respuesta a incidentes no se construye durante una crisis.
Las organizaciones necesitan establecer previamente planes de respuesta a incidentes que definan:
responsables, criterios de severidad, procesos de escalamiento, preservación de evidencia, canales de comunicación, coordinación con aseguradoras y procedimientos de notificación de incidentes.
También deben realizar evaluaciones de riesgos periódicas que permitan identificar cuáles son los activos, usuarios, proveedores y procesos más críticos.
El objetivo es desarrollar ciberresiliencia: la capacidad de continuar operando, contener el impacto y recuperarse cuando los controles preventivos no consiguen detener una amenaza.
Esta preparación resulta especialmente importante frente a escenarios como ransomware, ataques de ingeniería social, compromiso de credenciales, amenazas internas, ataques de denegación de servicio, brechas de seguridad o incidentes originados a través de terceros.
Una organización puede contar con controles sólidos de ciberseguridad y aun así quedar expuesta debido a un proveedor.
La cadena de suministro tecnológica conecta empresas con MSP, proveedores cloud, desarrolladores de software, plataformas SaaS, consultores y otras organizaciones externas.
Cada relación puede introducir nuevos riesgos.
Un incidente de cadena de suministro puede comenzar fuera de la infraestructura de una organización y propagarse posteriormente mediante credenciales, software, integraciones o accesos legítimos comprometidos.
Por esta razón, la gestión de la cadena de suministro debe formar parte tanto de la estrategia preventiva como de la respuesta.
Las organizaciones necesitan comprender qué terceros tienen acceso a información o sistemas críticos, qué controles de seguridad de la información aplican y cómo se coordinará la respuesta si uno de ellos resulta comprometido.
Para firmas de private equity, este problema adquiere una dimensión adicional: cada empresa del portafolio puede depender de una cadena de suministro tecnológica diferente.
La preparación frente a incidentes también está estrechamente relacionada con los requerimientos regulatorios.
Referencias internacionales como NIST proporcionan marcos que ayudan a las organizaciones a estructurar sus capacidades de identificación, protección, detección, respuesta y recuperación.
Estándares como ISO 27001 también permiten estructurar sistemas de gestión de seguridad de la información y establecer procesos documentados para gestionar riesgos y controles.
En Europa, la Directiva NIS2 incrementa la importancia de la gestión del riesgo, la seguridad de la cadena de suministro, el manejo de incidentes y determinadas obligaciones de reporte para las organizaciones incluidas dentro de su alcance.
La Agencia de la Unión Europea para la Ciberseguridad (ENISA) también desempeña un papel relevante en el ecosistema europeo de ciberseguridad. Las publicaciones y recomendaciones de ENISA pueden servir como referencia para comprender amenazas, fortalecer capacidades y mejorar la preparación organizacional.
En este contexto, la notificación de incidentes y el tratamiento de incidentes significativos dejan de ser únicamente procesos técnicos y pasan a formar parte de las responsabilidades de cumplimiento y gobierno corporativo.
Para determinadas organizaciones españolas, también puede ser necesario considerar los requisitos establecidos por el Esquema Nacional de Seguridad.
El Esquema Nacional de Seguridad establece principios y requisitos relacionados con la protección adecuada de información, servicios y sistemas dentro de su ámbito de aplicación.
Por ello, el CISO y los responsables de tecnología deben comprender no solo cómo prevenir ataques, sino también cómo documentar, escalar y responder cuando estos ocurren.
Un portafolio no es una sola empresa con un único plan de respuesta.
Es un conjunto de organizaciones con diferentes niveles de madurez de ciberseguridad, diferentes aseguradoras, distintos proveedores tecnológicos y, muchas veces, sin un estándar compartido para determinar qué debe ocurrir cuando aparece una amenaza.
Para las empresas de portafolio en Norteamérica y Europa, esta certificación permite a ne Digital proporcionar tres elementos importantes:
Un único modelo de respuesta. La misma clasificación de severidad, proceso de escalamiento y estándar de documentación puede aplicarse a las diferentes empresas del portafolio que atendemos.
Evidencia consistente. Los registros de incidentes preparados bajo estándares reconocidos por la aseguradora también pueden proporcionar información relevante durante futuros procesos de due diligence.
Un proveedor del panel que ya forma parte de la estructura de cobertura. Para empresas que cuentan con una póliza techrug CyberBreach™, el proveedor que administra el entorno también es reconocido por la póliza dentro de los niveles de severidad correspondientes.
Esto permite avanzar hacia un estándar común de gestión de incidentes y un proveedor autorizado para una parte significativa de un portafolio mid-market, en lugar de construir un esquema independiente para cada empresa o país.
Es importante definir claramente el alcance de cualquier certificación de ciberseguridad.
Esta certificación no significa que una organización no pueda sufrir un ciberataque, un incidente de ciberdelincuencia, una filtración de datos, un ataque de ransomware, una interrupción operativa, pérdidas financieras o daños reputacionales.
Ninguna certificación, póliza de seguro, tecnología de ciberseguridad o programa de respuesta elimina completamente el riesgo.
Tampoco garantiza que una reclamación sea aprobada, sustituye los términos y condiciones de una póliza ni autoriza a ne Digital a gestionar de manera independiente todos los posibles eventos de seguridad.
Los incidentes de mayor severidad pueden requerir la participación de asesores legales, especialistas en reclamaciones y firmas dedicadas de análisis forense digital.
Cada incidente debe analizarse de acuerdo con sus circunstancias, la investigación forense realizada, los sistemas afectados y la cobertura aplicable.
Lo que esta certificación sí significa es que, cuando ocurre un incidente dentro del alcance correspondiente, el equipo que conoce el entorno puede estar autorizado para actuar, la respuesta puede documentarse siguiendo un estándar reconocido por la aseguradora y el camino hacia la recuperación y la cobertura puede ser más claro.
Esta certificación forma parte de los Servicios Gestionados de Ciberseguridad de ne Digital, que combinan detección y respuesta continua, seguridad cloud, administración de tecnologías de seguridad de Microsoft y operaciones basadas en gobernanza para portafolios de private equity en Norteamérica y Europa.
Una estrategia moderna de ciberseguridad necesita combinar prevención, monitoreo y respuesta.
Controles EDR y XDR, plataformas SIEM y SOAR, procesos de inteligencia de amenazas y equipos preparados para responder ayudan a reducir el tiempo entre la detección de una amenaza y su contención.
Pero la tecnología representa solo una parte del problema.
La organización también necesita saber quién está autorizado para actuar cuando ocurre el incidente.
Con la certificación DFIR de techrug dentro del programa Coverholder de Lloyd's of London, ne Digital fortalece su capacidad para acompañar a sus clientes desde la operación cotidiana de ciberseguridad hasta la respuesta coordinada frente a determinados incidentes.
¡Conozca los Servicios Gestionados de Ciberseguridad de ne Digital!