ITRES-CSIRT RFC 2350 Versión 1.0 Traducción al español Idioma oficial y prevalente: inglés Última actualización: PENDIENTE AVISO SOBRE LA VERSIÓN LINGÜÍSTICA Este documento es una traducción al español de la versión oficial en inglés del RFC 2350 de ITRES-CSIRT. La versión inglesa constituye la versión oficial, autorizada y prevalente del documento. En caso de cualquier inconsistencia, ambigüedad o discrepancia entre esta traducción y la versión inglesa, prevalecerá la versión inglesa. Versión oficial en inglés: https://itresit.es/csirt/rfc2350.txt 1. INFORMACIÓN DEL DOCUMENTO 1.1 Fecha de la última actualización PENDIENTE 1.2 Lista de distribución para notificaciones Las modificaciones de este documento se publicarán en: https://itresit.es/csirt/rfc2350/ 1.3 Ubicaciones donde puede encontrarse este documento La versión oficial y prevalente en inglés está disponible en: https://itresit.es/csirt/rfc2350.txt Esta traducción al español está disponible en: https://itresit.es/csirt/rfc2350-es.txt La información pública general de ITRES-CSIRT se encuentra en: https://itresit.es/csirt/ 1.4 Autenticidad e idioma La versión inglesa de este documento es la versión oficial y prevalente del RFC 2350 de ITRES-CSIRT. La presente versión en español se facilita como traducción informativa. En caso de inconsistencia, ambigüedad o discrepancia entre ambas versiones, prevalecerá la versión inglesa. 2. INFORMACIÓN DE CONTACTO 2.1 Nombre del equipo Equipo de Respuesta a Incidentes de Seguridad de ITRES Nombre abreviado: ITRES-CSIRT 2.2 Dirección ITRESIT SOLUCIONES INFORMÁTICAS S.L. Parque Empresarial Magalia C/ Uruguay 13, Nave 10 30820 Alcantarilla, Murcia España 2.3 Zona horaria Europe/Madrid CET / CEST 2.4 Número de teléfono PENDIENTE 2.5 Número de fax No aplicable. 2.6 Otros medios de telecomunicación No aplicable. 2.7 Dirección de correo electrónico csirt@itresit.es 2.8 Claves públicas e información de cifrado ITRES-CSIRT admite comunicaciones cifradas mediante OpenPGP. Identidad de la clave: ITRES-CSIRT Huella digital: PENDIENTE Clave pública: https://itresit.es/csirt/itres-csirt.asc 2.9 Miembros del equipo La información individual de los miembros de ITRES-CSIRT no se publica por razones operativas y de seguridad. ITRES-CSIRT dispone de representantes designados para la relación con otros equipos de respuesta a incidentes y comunidades de confianza. 2.10 Otra información Sitio web corporativo: https://itresit.es/ Sitio web de ITRES-CSIRT: https://itresit.es/csirt/ 2.11 Puntos de contacto ITRES-CSIRT puede ser contactado para la notificación de incidentes de seguridad mediante: Correo electrónico: csirt@itresit.es Atención: 24 horas al día, 7 días a la semana, 365 días al año. Teléfono para incidentes urgentes: PENDIENTE Para comunicaciones que contengan información sensible se recomienda el uso de la clave pública OpenPGP de ITRES-CSIRT. 3. MARCO DE ACTUACIÓN 3.1 Declaración de misión La misión de ITRES-CSIRT es contribuir a la protección de su comunidad mediante la prevención, detección, análisis, coordinación y respuesta ante incidentes de ciberseguridad. ITRES-CSIRT actúa como punto de contacto especializado para la coordinación de incidentes con clientes, otros equipos de respuesta a incidentes, proveedores, investigadores de seguridad, autoridades competentes y otras organizaciones implicadas en la gestión de un incidente. 3.2 Comunidad atendida La comunidad formal atendida por ITRES-CSIRT comprende: - Los sistemas, redes, servicios, aplicaciones e infraestructuras de ITRESIT SOLUCIONES INFORMÁTICAS S.L. - Las organizaciones clientes de ITRES cuyos contratos incluyan servicios de ciberseguridad, monitorización, detección, investigación, gestión o respuesta ante incidentes. - Los activos, sistemas y servicios expresamente incluidos dentro del alcance de dichos contratos. La comunidad atendida por ITRES-CSIRT incluye organizaciones ubicadas en: - España. - México. - Puerto Rico. El alcance concreto y el nivel de servicio prestado a cada organización dependen de los servicios contratados y de los acuerdos aplicables. 3.3 Patrocinio y afiliación ITRES-CSIRT es operado por: ITRESIT SOLUCIONES INFORMÁTICAS S.L. ITRES forma parte de la Red Nacional de SOC, impulsada por el Centro Criptológico Nacional (CCN-CERT). La participación en dicha red forma parte del compromiso de ITRES con la cooperación y el intercambio responsable de información técnica de ciberseguridad. 3.4 Autoridad ITRES-CSIRT opera bajo la autoridad de ITRESIT SOLUCIONES INFORMÁTICAS S.L. En los sistemas y activos propiedad de ITRES, el equipo actúa conforme a las competencias, políticas y procedimientos internos establecidos por la organización. En los entornos pertenecientes a organizaciones clientes, ITRES-CSIRT actúa exclusivamente dentro de las competencias, autorizaciones y alcances establecidos en los contratos y acuerdos de prestación de servicios aplicables. 4. POLÍTICAS 4.1 Tipos de incidentes y nivel de soporte ITRES-CSIRT gestiona incidentes de ciberseguridad que afecten a su comunidad. Estos pueden incluir, entre otros: - Programas maliciosos. - Ransomware. - Accesos no autorizados. - Compromiso de cuentas. - Suplantación de identidad. - Phishing y otras técnicas de ingeniería social. - Explotación de vulnerabilidades. - Compromiso o exposición de información. - Ataques de denegación de servicio. - Intrusiones. - Actividad sospechosa en redes, sistemas o aplicaciones. - Incidentes que puedan afectar a la confidencialidad, integridad o disponibilidad de sistemas e información. El nivel de soporte depende de la severidad y alcance del incidente, de la información disponible y de los servicios aplicables al miembro de la comunidad afectado. 4.2 Cooperación, interacción e intercambio de información ITRES-CSIRT coopera con otros CSIRT, CERT, centros de operaciones de seguridad, proveedores, investigadores de seguridad, organizaciones y autoridades competentes cuando dicha cooperación resulta necesaria para la prevención, investigación, contención o resolución de incidentes de ciberseguridad. ITRES-CSIRT puede intercambiar indicadores de compromiso, información técnica, información sobre amenazas y otros datos relevantes cuando resulte apropiado para la gestión coordinada de un incidente. ITRES forma parte de la Red Nacional de SOC del CCN-CERT, dentro del ecosistema nacional de colaboración e intercambio de información técnica de ciberseguridad. ITRES-CSIRT reconoce y utiliza el Traffic Light Protocol (TLP) versión 2.0 para el intercambio responsable de información. La información recibida se trata de acuerdo con: - Su clasificación. - Las restricciones de distribución aplicables. - Las obligaciones contractuales. - La legislación vigente. - Los procedimientos internos de seguridad. El acceso a información sensible se limita al personal autorizado que necesite conocerla para el desarrollo de sus funciones. 4.3 Comunicación y autenticación El correo electrónico es el canal preferente de comunicación. La información sensible debería cifrarse mediante la clave pública OpenPGP de ITRES-CSIRT. Cuando resulte necesario, ITRES-CSIRT podrá verificar la identidad y legitimidad de la parte comunicante antes de intercambiar información sensible. 4.4 Protección de datos y confidencialidad ITRES-CSIRT gestiona la información recibida conforme a los requisitos legales, contractuales y de seguridad aplicables. La información relacionada con incidentes se comparte únicamente con las partes que necesiten conocerla para la prevención, análisis, coordinación o resolución del incidente, salvo que exista obligación legal de proceder de otro modo. 5. SERVICIOS 5.1 Gestión y respuesta a incidentes ITRES-CSIRT proporciona capacidades de análisis, clasificación, investigación, coordinación y respuesta ante incidentes de seguridad para su comunidad. 5.1.1 Clasificación inicial de incidentes ITRES-CSIRT evalúa los eventos e incidentes notificados o detectados, determina su relevancia, alcance y severidad, y establece su prioridad de tratamiento. 5.1.2 Análisis de incidentes ITRES-CSIRT realiza actividades de investigación y análisis técnico destinadas a determinar, cuando resulte posible: - Origen del incidente. - Sistemas y activos afectados. - Indicadores de compromiso. - Técnicas empleadas. - Alcance. - Impacto. - Medidas necesarias para su contención y resolución. 5.1.3 Coordinación de incidentes ITRES-CSIRT coordina las actividades de respuesta con las organizaciones afectadas y, cuando resulte necesario, con terceros, proveedores, otros equipos de respuesta y autoridades competentes. 5.1.4 Contención, erradicación y recuperación ITRES-CSIRT presta apoyo a las actividades de: - Contención del incidente. - Erradicación de la amenaza. - Recuperación de sistemas. - Restablecimiento de servicios. - Seguimiento posterior al incidente. Estas actividades se realizan de acuerdo con la autoridad, los servicios y los acuerdos aplicables a la organización afectada. 5.1.5 Análisis forense ITRES-CSIRT dispone de capacidades para el análisis forense digital y el análisis de evidencias y artefactos asociados a incidentes de seguridad. 5.2 Detección y vigilancia ITRES-CSIRT desarrolla actividades que pueden incluir: - Monitorización continua de seguridad. - Correlación y análisis de eventos. - Detección de actividad sospechosa. - Análisis de indicadores de compromiso. - Investigación de alertas. - Seguimiento de amenazas. 5.3 Gestión de vulnerabilidades ITRES-CSIRT desarrolla actividades relacionadas con: - Identificación y análisis de vulnerabilidades. - Evaluación de exposición. - Priorización. - Recomendaciones de mitigación. - Seguimiento. - Coordinación con las partes implicadas cuando resulte necesario. 5.4 Actividades proactivas Las actividades proactivas de ITRES-CSIRT pueden incluir: - Vigilancia tecnológica. - Seguimiento de amenazas. - Difusión de avisos y recomendaciones de seguridad. - Intercambio de información sobre amenazas. - Evaluación de riesgos y exposición. - Recomendaciones de mejora. - Mejora continua de las capacidades de detección y respuesta. 5.5 Capacidad operativa ITRES-CSIRT se apoya en la capacidad operativa del SOC de ITRES, con servicio continuado 24x7x365. Las capacidades de ITRES incluyen servicios de monitorización de ciberseguridad, respuesta a incidentes y gestión de vulnerabilidades. 6. CERTIFICACIONES Y PARTICIPACIÓN 6.1 Red Nacional de SOC del CCN-CERT ITRES forma parte de la Red Nacional de SOC impulsada por el Centro Criptológico Nacional (CCN-CERT). Información pública: https://rns.ccn-cert.cni.es/red-nacional-soc 6.2 ISO/IEC 27001:2022 ITRESIT SOLUCIONES INFORMÁTICAS S.L. dispone de un Sistema de Gestión de Seguridad de la Información certificado conforme a ISO/IEC 27001:2022. El alcance certificado incluye el Servicio de Monitorización de Ciberseguridad y Respuesta a Incidentes. 6.3 Esquema Nacional de Seguridad Los sistemas de información evaluados de ITRES que soportan sus servicios se encuentran certificados conforme al Esquema Nacional de Seguridad en categoría ALTA. El alcance incluye, entre otros: - Monitorización de Ciberseguridad y Respuesta a Incidentes. - Gestión de Vulnerabilidades. 7. NOTIFICACIÓN DE INCIDENTES Los incidentes relacionados con la comunidad atendida por ITRES-CSIRT pueden notificarse mediante: csirt@itresit.es La información sensible debería enviarse preferentemente cifrada mediante la clave pública OpenPGP de ITRES-CSIRT. Cuando sea posible, la notificación debería incluir: - Nombre de la organización. - Datos de contacto. - Fecha y hora de detección. - Zona horaria. - Sistemas afectados. - Direcciones IP afectadas. - Dominios afectados. - Descripción del incidente. - Indicadores de compromiso conocidos. - Acciones realizadas hasta el momento. - Impacto observado o estimado. - Registros o evidencias relevantes. - Clasificación TLP propuesta. 8. COMUNICACIÓN DE VULNERABILIDADES Investigadores, clientes, proveedores y terceros pueden comunicar a ITRES-CSIRT vulnerabilidades o problemas de seguridad relacionados con activos incluidos dentro de su comunidad mediante: csirt@itresit.es Para información especialmente sensible se recomienda utilizar la clave pública OpenPGP de ITRES-CSIRT. 9. DESCARGOS DE RESPONSABILIDAD ITRES-CSIRT realiza esfuerzos razonables para proporcionar información técnica precisa y actualizada. No obstante, la información publicada o comunicada debe evaluarse en función de las circunstancias concretas de cada organización, sistema e incidente. Los servicios prestados a organizaciones clientes se encuentran sujetos a los contratos, acuerdos de nivel de servicio, autorizaciones y demás condiciones aplicables. 10. CONTROL DE VERSIONES Versión: 1.0 Fecha: PENDIENTE Descripción: Versión inicial del documento RFC 2350 de ITRES-CSIRT. Idioma oficial y prevalente: Inglés. Esta versión española es una traducción informativa. En caso de cualquier discrepancia con la versión inglesa, prevalecerá la versión inglesa.