Playbook
Un playbook es un procedimiento documentado y repetible para atender un tipo concreto de incidente, escrito para que quien responde no tenga que improvisar bajo presión. En operaciones de seguridad fija por adelantado las decisiones, los umbrales y la autoridad para actuar, cuando todavía hay tiempo de pensarlos como es debido.
Uno útil es estrecho. Ransomware en un servidor de ficheros, compromiso del correo corporativo en un solo buzón y una filtración de credenciales confirmada son tres playbooks, no uno, porque las decisiones de contención son distintas. Lo que cada uno necesita es el mismo conjunto breve de cosas: el disparador, la evidencia que hay que recoger antes de cambiar nada, quién está autorizado a desconectar o deshabilitar, las obligaciones de notificación con sus plazos, y los criterios para dar el incidente por cerrado.
Las partes que se saltan son las que más importan en la primera hora. Quién puede autorizar el aislamiento de un sistema de producción a las tres de la madrugada, y qué pasa si esa persona no contesta. Dónde vive la lista de contactos si el directorio no está disponible. Si se preserva un buzón antes de restablecerlo, porque restablecer primero destruye la evidencia que la respuesta a incidentes va a necesitar después.
La automatización en una plataforma SOAR codifica los pasos pero no pone a prueba las premisas. Lo que sí las pone a prueba es ejecutar el procedimiento contra un escenario con las personas reales, y la observación que más veces anotamos es un documento técnicamente correcto que no ha ejecutado nunca nadie de quienes tendrían que ejecutarlo.