Preparación

El objetivo de la etapa de preparación es justamente alistar y
preparar todo lo necesario para poder responder a un incidente. Se
definen los canales de reporte, criterios de aceptación, niveles de
severidad, esquemas de comunicación con las organizaciones afectadas y
autoridades competentes, así como los mecanismos para preservar la
confidencialidad y la evidencia. La preparación permite que, al recibir
un reporte, el equipo pueda actuar de manera inmediata, consistente y
ordenada.

Adicionalmente, como para de la preparación, es importante que las
personas a cargo de atender los incidentes reciban una adecuada
capacitación e inducción, que les permita comprender, aclarar y poner en
práctica los procedimientos operativos.

Parte de la preparación, también implica identificar y preparar las
herramientas técnicas necesarias para la respuesta, incluyendo por
ejemplo un sistema para el registro y la documentación.

Identificación y detección

El objetivo de esta fase es determinar si el reporte recibido
corresponde a un incidente de seguridad y comprender su naturaleza,
alcance e impacto potencial.

Durante esta etapa, la persona analista del OPD analiza la
información proporcionada por quién realiza el reporta para validar la
existencia del incidente, clasificarlo y estimar su prioridad.

En el caso del OPD, en la mayoría de los casos no se tiene acceso a
información proveniente de sistemas de monitoreo o indicadores técnicos,
por lo que se deben recolectar indicios a partir de entrevistas y
conversaciones. Esta fase busca construir una visión clara y documentada
del incidente que permita orientar decisiones posteriores y priorizar la
respuesta.

Contención

El objetivos de la fase de contención es reducir el impacto del
incidente y evitar su propagación, mediante recomendaciones y
coordinación con la persona u organización afectada.

En esta etapa, se brindan recomendaciones técnicas a la persona u
organización afectada para contener el incidente. La contención busca
estabilizar la situación mientras se profundiza el análisis y se
identifica la causa raíz del incidente.

Erradicación

El objetivo de esta etapa es eliminar la causa del incidente y
reducir la probabilidad de recurrencia.

Durante esta etapa, los esfuerzos se centran en analizar el incidente
e identificar la causa raíz, de forma tal que se puedan definir acciones
para eliminar la presencia o posible compromiso.

Esto puede incluir por ejemplo recomendaciones para eliminar
artefactos maliciosos, corregir configuraciones inseguras o mitigar
vulnerabilidades explotadas. Generalmente, la ejecución recae en la
persona u organización afectada, pero dependiendo del caso, se debe
supervisar o apoyar con la implementación de estas acciones.

Recuperación

Una vez que la causa ha sido identificada y la presencia del atacante
ha sido neutralizada, es posible restablecer las operaciones normales de
forma controlada y segura.

Durante la recuperación, el equipo acompaña y orienta a la
organización en el proceso de retorno a la operación normal, enfatizando
acciones concretas a partir de lo identificado en las etapas anteriores.
La función del equipo del OPD es prevenir que se reintroduzca el riesgo
original.

Lecciones aprendidas

Durante la última fase, se busca extraer conocimiento del incidente
para fortalecer la postura de seguridad futura, tanto de la persona u
organización afectada como del ecosistema.

A partir del análisis de las causas, el impacto y la efectividad de
la respuesta, se generan recomendaciones estratégicas y técnicas, tanto
para la organización afectada como para el equipo del OPD. Esta fase
transforma el incidente en aprendizaje, mejorando procesos, capacidades
de detección y coordinación futura.

Recepción de solicitudes

La mayor parte de los reportes de incidentes que recibe el
observatorio llegan a partir de redes de confianza, es decir personas y
organizaciones con quienes la fundación ha trabajado y colaborado en las
últimas décadas. Proteger, nutrir y fortalecer estas redes de confianza
es también parte del trabajo de las personas técnicas dedicadas a la
atención.

Debido a estas relaciones personales y de confianza, en la mayoría de
ocasiones los casos se reciben directamente en contacto con una persona
específica, generalmente quién ha sido asignado como responsable de
atención en el país. Sin embargo, los casos también pueden llegar a
otras personas en el equipo, o provenir también de contrapartes que
buscan referir un incidente.

Por lo tanto, el OPD no tiene un canal único para la recepción de
incidentes, y más bien es a través de los contactos individuales que se
reciben la mayoría de casos, utilizando canales de comunicación
establecidos como correo electrónico, signal y WhatsApp. En algunas
ocasiones, el contacto se puede recibir a través del formulario de
contacto que se encuentra disponible en el sitio web de Acceso.

Una vez que se recibe una solicitud o reporte de incidente, inicia el
proceso de atención. Es común que durante la atención se utilicen
diferentes plataformas y mecanismos de comunicación, incluyendo
plataformas de videoconferencia como Jitsi, Signal u otros.
Independiente del medio en que se reciba, es importante considerar
siempre la confidencialidad y seguridad del canal de comunicación a
utilizar, de forma tal que no se generen riesgos adicionales a las
personas que solicitan asistencia.

Verificación de solicitudes

En algunas ocasiones se recibirán casos de personas u organizaciones
con las que no se ha trabajado anteriormente, y para las cuáles no
existe aún un registro en el sistema SARA. Estas solicitudes llegan
cuando alguna persona comparte el contacto o refiere a un tercero o a
través de los formularios o información de contacto pública. En estos
casos es importante verificar la relación de confianza y confirmar que
la persona o grupo cumple con el mandato del OPD.

Realizar esta verificación permite reducir el riesgo de apoyar a
personas u organizaciones que no sean parte de la sociedad civil, o que
no cumplan con los criterios definidos por Fundación Acceso. Además,
completar una verificación de la identidad, permite reducir el riesgo de
ser víctimas de ingeniería social o de apoyar a alguien que está
impersonando a una tercera persona.

La guía de cómo
verificar reportes de incidentes brinda más detalles del proceso de
verificación.

Registro y documentación de incidentes

Una vez que se verifica la identidad de la persona u organización que
remite el incidente, y se confirma que está dentro del alcance de las
actividades del OPD, es importante realizar el registro del incidente en
la plataforma interna SARA.

Este registro debe realizarse al inicio de la atención, y conforme se
avance en las etapas de evaluación y atención, se registran los avances
y hallazgos en la investigación. Para realizar este registro, el OPD
desarrolló la herramienta SARA, que pretende responder a las necesidades
internas de Fundación Acceso para un adecuado registro y seguimiento de
las intervenciones y acompañamientos.

Los campos y valores a registrar para cada incidente se describe en
el documento de referencia sobre tipologías y metadatos para el registro
y clasificación de incidentes.

La guía how-to sobre cómo registrar
incidentes en el sistema SARA brinda más detalles del proceso de
registro.

Evaluación inicial, diagnóstico e intervención

Una vez que se recibe el incidente, además de la verificación y el
registro, se debe proceder con una evaluación inicial, generalmente a
través de una entrevista de diagnóstico que permita comprender qué
sucedió y qué tipo de apoyo se está solicitando.

Dependiendo de la entrevista inicial, y en consideración de
protocolos de atención integral, la personal responsable de la atención
determina el procedimiento de atención, en consideración de la
información disponible y en apego a mejores prácticas para el manejo
forense de la información.

Algunos recursos útiles para la evaluación, diagnóstico e
intervención incluyen:

• Guía
  de campo para respuesta a incidentes en medios y sociedad civil
• Kit de primeros auxilios
  digitales
• Repositorio documental
  sobre forense consentida para la sociedad civil

Escalación y apoyo

Durante la atención de un incidente es posible que se requiera apoyo,
interno o externo, para el análisis o cualquier de los pasos necesarios
para la resolución exitosa de un incidente.

Es de suma importancia que, en el momento en que se presenten
obstáculos o bloques que dificulten la resolución de un incidente se
escale, primero a nivel interno, y de ser necesario también con
contrapartes y redes de contacto. Buscar apoyo será la responsabilidad
de la persona asignada a un determinado incidente, y se pone a
disposición la guía sobre
escalación interna y externa de incidentes.

Cierre, seguimiento y lecciones aprendidas

La última etapa en el flujo de atención de un incidente corresponde
al cierre y seguimiento. Usualmente, una vez que se alcanza el objetivo
establecido para un incidente determinado, es posible proceder con el
cierre del incidente.

En ocasiones, también es posible que los incidentes se cierren por
otros motivos, incluyendo la falta de respuesta de la persona u
organización que solicita asistencia.

La guía para el cierre y seguimiento (aún por desarrollar) de
incidentes brinda más detalles sobre la última etapa en el ciclo de
atención de incidentes del OPD.