Tener una capacidad implantada no significa necesariamente estar en condiciones de obtener su certificación. Un SOC puede llevar años realizando análisis de vulnerabilidades, monitorizando eventos o respondiendo a incidentes y, aun así, encontrar aspectos que necesita revisar cuando contrasta su operativa con los requisitos establecidos para la certificación. La diferencia está en lo que se puede demostrar respecto a los requisitos de la guía CCN-STIC 896, lo que conlleva hacer algunas modificaciones o actualizaciones en la operativa actual de cada SOC.
Dicha Guía CCN-STIC 896, Perfil de Cumplimiento Específico para Servicios de Seguridad Gestionados (PCE-SSG) establece los requisitos mínimos obligatorios para acreditar la competencia técnica y la capacidad operativa de los servicios que se presentan para su certificación. No entra únicamente en qué hace el SOC, sino también en cómo se organiza ese trabajo, qué procedimientos lo respaldan, qué herramientas se utilizan, quiénes son sus responsables, qué perfiles intervienen o qué evidencias deja la actividad.
Por eso, leer la guía pensando únicamente en tecnología ofrece una visión parcial. Buena parte de los requisitos tienen que ver con la forma en que una capacidad se convierte en un servicio organizado, repetible y certificable.
Más allá de la capacidad técnica
El apartado dedicado a los requisitos operativos permite comprobar hasta qué punto baja al terreno la CCN-STIC 896.
Tomemos como ejemplo el análisis de vulnerabilidades, incluido dentro de los Servicios de Prevención. La guía no se limita a exigir que el SOC sea capaz de identificar vulnerabilidades. Entre otros requisitos, establece que debe existir un procedimiento definido para su identificación, análisis, reporte y seguimiento hasta comprobar que han sido corregidas; que la documentación de esos procesos debe mantenerse actualizada para facilitar la trazabilidad; que debe disponerse de un inventario actualizado de activos; y que las vulnerabilidades identificadas deben contar con un sistema de valoración de criticidad basado en referencias como CVE o CVSS.
También contempla el seguimiento de nuevas vulnerabilidades que puedan afectar a la organización, la generación de informes y cuadros de mando que faciliten la toma de decisiones o el uso de herramientas de gestión de tickets para notificar y realizar el seguimiento de alertas.
El ejemplo resulta útil porque muestra la lógica que recorre la certificación. No basta con ejecutar una actividad técnica correctamente. Hay que poder demostrar que existe un proceso detrás y que ese proceso puede mantenerse en el tiempo.
Esta misma lógica se traslada, con requisitos específicos, a los distintos servicios y subservicios definidos en la guía, contemplando todas las interacciones que pueden producirse entre distintos servicios y su coordinación dentro de la operativa diaria del SOC y repetirse de forma continua.
En la práctica, esto obliga a mirar la operativa cotidiana con otros ojos. Una tarea puede realizarse de manera eficaz y, sin embargo, depender demasiado de la experiencia de una persona concreta. Puede existir un procedimiento, pero llevar meses sin actualizarse. Puede generarse información relevante durante una investigación y no conservarse de una forma que permita reconstruir posteriormente lo ocurrido.
Son precisamente esas diferencias entre la capacidad técnica y su formalización las que conviene localizar antes de afrontar una auditoría.
Una forma práctica de revisar un servicio
En lugar de empezar por toda la documentación disponible, puede resultar más útil seleccionar uno de los servicios que se pretende certificar y seguir su operativa de principio a fin.
Por ejemplo, ante una actividad real del servicio:
- ¿Existe un procedimiento autorizado y en vigor que describa cómo debe realizarse?
- ¿Pueden identificarse los responsables del servicio y subservicios?
- ¿La documentación refleja la forma en que se trabaja actualmente?
- ¿Puede identificarse quién intervino y qué actuaciones llevó a cabo?
- ¿Quedan registradas las decisiones y resultados relevantes?
- ¿Se utilizan las herramientas y mecanismos de seguimiento previstos?
- ¿Puede recuperarse posteriormente la evidencia de lo realizado?
- ¿El personal que desarrolla la actividad cuenta con la capacitación (y autorización, si procede) requerida?
Si alguna de estas preguntas resulta difícil de responder, merece la pena revisar ese punto antes de avanzar en el proceso.
No todas ellas serán aplicables de la misma manera a todos los servicios, aunque conviene repetirlas en cada uno. La propia CCN-STIC 896 establece requisitos concretos para cada uno. La utilidad del ejercicio está en comprobar si existe continuidad entre lo que establece el procedimiento, lo que ocurre durante la prestación del servicio y lo que finalmente puede certificarse. Ahí suele estar una de las claves de la preparación.
La guía presta además especial atención a los profesionales que intervienen en los SSG. Señala la importancia de que operadores y analistas dispongan de procedimientos de operación estandarizados y documentación actualizada sobre los casos de uso y protocolos establecidos, con el objetivo de reducir la improvisación, disponer de trazabilidad cuando sea necesario e identificar posibles áreas de mejora continua y evolución en la prestación de los servicios de forma óptima. También recoge perfiles profesionales asociados a los distintos servicios y requisitos orientativos sobre su capacitación y experiencia.
Esto introduce otra cuestión que no siempre se contempla al hablar de certificación: la capacidad del SOC debe mantenerse, aunque cambien las personas que ejecutan una determinada tarea. A ello contribuyen de forma clara la disponibilidad de unos procedimientos eficientes y actualizados.
Si un proceso solo funciona porque un analista conoce de memoria cómo resolverlo, existe conocimiento técnico, pero todavía puede faltar madurez operativa. Documentar, estandarizar y conservar evidencias permite convertir ese conocimiento individual en una capacidad del servicio.
La preparación de la CCN-STIC 896 puede servir precisamente para localizar estos puntos. Más que acumular documentación para la auditoría, se trata de comprobar que existe correspondencia entre personas, procesos, tecnología y evidencias.
Otra prueba sencilla consiste en elegir una actividad reciente y tratar de reconstruirla únicamente con la información que conserva el SOC. Si es posible saber qué ocurrió, qué procedimiento se siguió, quién intervino, qué decisiones se tomaron y cuál fue el resultado, probablemente exista una buena base. Si hay que recurrir a la memoria de quienes participaron para completar la historia, ya tenemos una pista de dónde puede estar la siguiente mejora.
