Plan de Respuesta a Incidentes vs. Playbook: ¿Cuál es la diferencia?
El Plan de Respuesta a Incidentes frente al Playbook es un proceso controlado que equilibra la contención de daños con la preservación de pruebas. Se documenta la fuente, el tiempo y las herramientas, se guarda el Hash, se construye una línea de tiempo y se separa el hecho, la interpretación y la decisión.
Incident Response y DFIR requieren un equilibrio entre velocidad, preservación de pruebas, continuidad del negocio y documentación. Una acción correcta es una acción que puede ser explicada, replicada y revisada después del incidente. Este artículo se centra en el Plan de Respuesta a Incidentes vs. Playbook y está dirigido a gerentes de seguridad, líderes de equipo y estudiantes. El objetivo es proporcionar una metodología que pueda aplicarse en la práctica, en una entrevista profesional y en un entorno de trabajo, sin limitarse a una definición de diccionario.
El desafío central es que los datos son casi siempre incompletos. La fuente de la evidencia, el tiempo y la zona horaria de recolección, el Hash y la Cadena de Custodia pueden indicar una dirección, pero su significado depende del tiempo, el activo, el usuario y la actividad esperada. Por lo tanto, construiremos la verificación en torno a una pregunta de investigación, las pruebas requeridas y un criterio claro de finalización.
El escenario práctico en el artículo es: construir una jerarquía de documentos para una organización simulada. Todos los ejemplos son datos de laboratorio o descripciones de procesos. Cuando se trata de Penetration Testing, Web o Cloud, solo se debe trabajar con aprobación explícita, un alcance definido y la capacidad de detener la prueba.
