Plantilla de revisión posterior al incidente
Una revisión posterior al incidente sin culpables: cronología UTC con fuentes, causa raíz, seguimiento de acciones y tiempos de detección, contención y resolución.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Una revisión posterior al incidente sin culpables (blameless): cronología en UTC con las fuentes de cada evidencia, qué fue bien y qué fue mal, causa raíz y factores contribuyentes, un seguimiento de acciones con responsable y fecha límite, los tiempos de detección, contención y resolución, una comprobación de calidad de nueve puntos y la firma final. Una revisión solo vale por las acciones que se terminan: el seguimiento registra un único responsable, una fecha límite y la evidencia de cierre de cada acción, y marca las vencidas. Introduces cuatro momentos (primera actividad maliciosa, detección, contención y resolución) y la plantilla calcula el tiempo de detección, de contención y de resolución; promediados entre incidentes, son tu MTTD y tu MTTR. Está pensada sin culpables: los hallazgos describen lo que el proceso y las herramientas permitieron, no quién falló. El ejemplo es un compromiso del correo empresarial con un pago a proveedor desviado, para que veas una revisión terminada antes de escribir la tuya. Es una herramienta Pro.
- Revisa el ejemplo: un compromiso del correo empresarial con un pago a proveedor desviado.
- Construye la cronología en UTC a partir de las evidencias, con su fuente, e introduce los cuatro momentos clave para obtener los tiempos de detección, contención y resolución.
- Documenta qué fue bien y mal, la causa raíz y los factores contribuyentes, sin culpar a personas.
- Asigna cada acción a un responsable con fecha límite, pasa la comprobación de calidad de nueve puntos y recoge la firma.
Preguntas frecuentes
¿Qué debe incluir una revisión posterior al incidente?
Una cronología factual con fuentes, qué fue bien y qué fue mal, la causa raíz y los factores contribuyentes, las decisiones de notificación y comunicación tomadas, una lista de acciones con responsables y fechas, los tiempos clave de respuesta y la firma final. NIST SP 800-61 trata las lecciones aprendidas como parte del ciclo de vida de la respuesta a incidentes, devolviendo las mejoras a la fase de preparación.
¿Qué significa «sin culpables» en una revisión posterior al incidente?
Significa que la revisión busca las condiciones que hicieron posible un error, como un proceso que permitía cambiar los datos bancarios solo por correo electrónico, en lugar de señalar a una persona como causa. La gente comparte más cuando no teme que la culpen, y corregir las condiciones evita el siguiente incidente; culpar a una persona no lo hace.
¿Cómo se calculan el MTTD y el MTTR?
Para cada incidente, el tiempo de detección es la hora de detección menos la hora de la primera actividad maliciosa, y el tiempo de resolución es la hora de resolución menos la de detección. El MTTD y el MTTR son las medias (o mejor, las medianas) de todos los incidentes de un periodo. Registra las horas en UTC a partir de las evidencias, no de la memoria.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.