Ter unha capacidade implementada non significa necesariamente estar en posición de certificala. Un SOC pode levar anos realizando análises de vulnerabilidades, monitorizando eventos ou respondendo a incidentes e aínda así atopar aspectos que precisan revisión ao comparar as súas operacións cos requisitos de certificación establecidos. A diferenza reside no que se pode demostrar.

A Guía CCN-STIC 896, Perfil de Conformidade Específico para Servizos de Seguridade Xestionados (PCE-SSG), establece os requisitos mínimos obrigatorios para acreditar a competencia técnica e a capacidade operativa dos servizos que buscan a certificación. Aborda non só o que fai o SOC, senón tamén como se organiza ese traballo, que procedementos o apoian, que ferramentas se utilizan, que roles están implicados e que evidencias deixa a actividade.

Polo tanto, ler a guía centrándose unicamente na tecnoloxía ofrece unha visión incompleta. Unha parte significativa dos requisitos relaciónase con como unha capacidade se converte nun servizo organizado, repetible e acreditable.

Máis alá da capacidade técnica

A sección dedicada aos requisitos operativos permítenos ver ata onde chega a aplicación práctica do estándar CCN-STIC 896.

Tomemos como exemplo a análise de vulnerabilidades, incluída dentro dos Servizos de Prevención. A guía non só require que o SOC sexa capaz de identificar vulnerabilidades. Entre outros requisitos, establece que debe haber un procedemento definido para a súa identificación, análise, notificación e seguimento ata que se verifique que foron corrixidas; que a documentación destes procesos debe manterse actualizada; que debe estar dispoñible un inventario actualizado de activos; e que as vulnerabilidades identificadas deben ter un sistema de avaliación de criticidade baseado en referencias como CVE ou CVSS.

Tamén inclúe a monitorización de novas vulnerabilidades que poidan afectar á organización, a xeración de informes e cadros de mando que faciliten a toma de decisións e o uso de ferramentas de xestión de tickets para notificar e rastrexar alertas.

Este exemplo é útil porque ilustra a lóxica que hai detrás da certificación. Non abonda con simplemente realizar unha actividade técnica correctamente. É necesario demostrar que existe un proceso detrás diso e que este proceso pode manterse ao longo do tempo.

Esta mesma lóxica, con requisitos específicos, aplícase aos distintos servizos e subservizos cubertos pola guía.

Na práctica, isto obríganos a ver as operacións diarias cunha perspectiva diferente. Unha tarefa pode realizarse de forma eficiente e, con todo, depender demasiado da experiencia dun individuo específico. Pode existir un procedemento, pero pode que non se actualizase durante meses. Pode xerarse información relevante durante unha investigación, pero non se almacenar dun xeito que permita a reconstrución posterior do que aconteceu.

Son precisamente estas discrepancias entre a capacidade técnica e a súa formalización as que se deben identificar antes de realizar unha auditoría.

Un xeito práctico de revisar un servizo

En lugar de comezar con toda a documentación dispoñible, pode ser máis útil seleccionar un dos servizos que se pretende certificar e seguir o seu funcionamento de principio a fin.

Por exemplo, en relación cunha actividade de servizo real:

• Existe algún procedemento que describa como se debe levar a cabo?
• A documentación reflicte como se fai o traballo actualmente?
• Podes identificar quen participou e que accións tomaron?
• Rexistráronse as decisións e os resultados relevantes?
• Utilízanse as ferramentas e os mecanismos de seguimento planificados?
• Pódense recuperar máis tarde as probas do que se fixo?
• O persoal que realiza a actividade ten a formación requirida?

Se algunha destas preguntas é difícil de responder, paga a pena revisar ese punto antes de pasar ao seguinte. proceso.

Non todos estes serán aplicables do mesmo xeito a todos os servizos. O propio CCN-STIC 896 establece requisitos específicos para cada un. A utilidade do exercicio reside en verificar se existe continuidade entre o que establece o procedemento, o que ocorre durante a prestación do servizo e o que finalmente se pode documentar. Esta adoita ser unha das claves da preparación.

A guía tamén presta especial atención aos profesionais implicados nos SSG (Sistemas de Xestión de Servizos). Destaca a importancia de que os operadores e analistas teñan procedementos operativos estandarizados e documentación actualizada sobre casos de uso e protocolos establecidos, co obxectivo de reducir a improvisación. Tamén inclúe perfís profesionais asociados aos diferentes servizos e directrices relativas á súa formación e experiencia.

Isto introduce outra cuestión que non sempre se ten en conta ao falar da certificación: a capacidade do SOC debe manterse, mesmo se cambian as persoas que realizan unha determinada tarefa.

Se un proceso só funciona porque un analista sabe resolvelo de memoria, existe coñecemento técnico, pero aínda pode faltar madurez operativa. Documentar, estandarizar e preservar as evidencias permite que ese coñecemento individual se transforme nunha capacidade de servizo.

A preparación para CCN-STIC 896 pode servir precisamente para identificar estes puntos. Máis que acumular documentación para a auditoría, trátase de verificar que existe unha correspondencia entre as persoas, os procesos, a tecnoloxía e as evidencias.

Unha proba sinxela consiste en escoller unha actividade recente e tentar reconstruíla usando só a información que posúe o SOC. Se é posible saber que aconteceu, que procedemento se seguiu, quen participou, que decisións se tomaron e cal foi o resultado, é probable que exista unha boa base. Se temos que confiar nas lembranzas dos que participaron para completar a historia, xa temos unha pista de onde podería estar a seguinte mellora.