Notificar un incidente de seguridad: la información que retener

Para notificar un incidente de seguridad tras una llamada sospechosa, avise de inmediato a la persona designada en su organización. Puede ser el responsable de seguridad, el soporte informático o su superior. Aporte hechos anotados en caliente: quién llamó, qué se pidió, qué se dio, a qué hora. Una notificación rápida y precisa vale más que una perfecta pero tardía.

Este artículo explica a quién notificar, cuándo, y propone una plantilla reutilizable de la información que conviene retener durante y después de la llamada.

¿A quién notificar un incidente de seguridad?

El primer destinatario es interno. Toda organización debería tener un único punto de contacto, conocido por todos, por ejemplo una dirección dedicada o un número de guardia. El empleado no debe preguntarse con quién hablar.

Si no sabe a quién dirigirse, empiece por su responsable y su soporte informático. Es mejor un destinatario equivocado pero rápido que la ausencia de notificación. Ellos lo reenviarán.

Fuera de la organización existen varios dispositivos públicos, que son franceses. El servicio 17Cyber, impulsado por el Ministerio del Interior francés, se dirige a las víctimas de delitos digitales. Está pensado para particulares, empresas y colectividades. Ofrece consejos personalizados y, si hace falta, un intercambio con un gendarme o un policía. Cybermalveillance.gouv.fr, el organismo público francés de asistencia a víctimas de ciberdelitos, ofrece también fichas de reflejos y asistencia a las víctimas. Estos trámites suelen depender de la decisión del responsable de seguridad o de la dirección, no del empleado por sí solo.

¿Cuándo hay que hacerlo?

De inmediato, aunque no haya dado nada y aunque no esté seguro. Una llamada fallida de un atacante es una información valiosa: a menudo probará después con un compañero.

El plazo cuenta sobre todo en tres casos:

• ha comunicado una contraseña, un código o una información interna;
• ha validado una operación (transferencia, restablecimiento, inicio de sesión);
• ha hecho clic en un enlace durante la llamada.

En esos casos, notifique antes que cualquier otro trámite. Cada minuto puede permitir bloquear una transferencia o revocar un acceso.

¿Qué retener durante la llamada?

Durante la conversación, la prioridad sigue siendo no dar nada. Pero ya se puede anotar, en un papel o en un bloc, lo esencial: la hora, el nombre anunciado, el número que aparece, lo que pide. Anotar da además aplomo: frena a quien llama y le devuelve a usted el papel de investigador en lugar del de objetivo.

Una frase sencilla lo permite: «¿Puede repetir su nombre y su departamento? Lo anoto, para el seguimiento de su solicitud». A un estafador le incomoda quedar registrado. Un interlocutor legítimo lo encuentra normal.

¿Qué plantilla utilizar tras el intento?

Esta es una plantilla para copiar en un modelo de correo o en el formulario de notificación. Consta de nueve apartados. Rellene lo que sepa y escriba «desconocido» en el resto, sin inventar nada.

1. Hora y duración: fecha, hora de inicio, duración aproximada de la llamada.
2. Identidad anunciada: nombre y apellidos dados, cargo, organización o departamento al que dice pertenecer.
3. Número de origen: el que aparecía, tal cual (puede estar suplantado).
4. Número de devolución dado: el que quien llama pidió marcar, si lo hubo.
5. Referencia de expediente: número de ticket, de expediente o de cliente citado, aunque parezca inventado.
6. Qué se pedía, y en qué orden: el encadenamiento de las peticiones revela a menudo el método.
7. Palancas de presión utilizadas: urgencia, autoridad, amenaza, culpabilización, halago, petición de discreción.
8. Detalle incoherente: lo que sonaba falso (vocabulario inusual para el cargo, desconocimiento de un detalle interno).
9. Qué se dio: información, código, acceso, operación realizada, con las palabras exactas si es posible. Si nada, escribirlo.

El orden de las peticiones (apartado 6) suele decir más que el contenido. Muestra cómo construyó quien llamó su presión, paso a paso. Es lo que los equipos de seguridad intentan reconocer de una llamada a otra.

¿Por qué anotar las palancas de presión?

Las palancas son la firma de quien llama. Un mismo grupo reutiliza los mismos resortes: la urgencia ligada a un acontecimiento, la autoridad de un directivo, la amenaza de consecuencias, la petición de no decir nada. Dejarlas por escrito permite relacionar varias llamadas entre sí.

Es también un ejercicio de lucidez para la persona que recibió la llamada. Nombrar la palanca («jugó la urgencia, luego la autoridad») ayuda a entender en qué estuvo a punto de ceder. Esta lectura se detalla en el artículo sobre las palancas psicológicas de la ingeniería social.

¿Qué aspecto tiene una plantilla rellenada, sobre un ejemplo tipo?

Imaginemos una llamada recibida por una auxiliar contable. Esto podría contener su notificación, en pocas líneas:

Hora: jueves, 11:05, unos seis minutos. Identidad anunciada: «Marcos», «servicio de seguridad del banco». Número que aparecía: un número de diez cifras, anotado tal cual. Número de devolución dado: un número distinto, pedido «para asegurar la línea». Referencia de expediente: ninguna. Peticiones, por orden: confirmar mi identidad, citar la última transferencia, leer el código recibido por SMS. Palancas: urgencia («operaciones en curso»), autoridad. Detalle incoherente: no conocía el nombre de mi asesora. Dado: mi identidad y el importe de la última transferencia, ningún código.

Este mensaje se lee en treinta segundos y permite actuar: avisar al banco, alertar a los compañeros de contabilidad, verificar la transferencia citada. Es la diferencia con «he recibido una llamada rara».

¿Cómo utilizarla en el día a día?

Una plantilla solo tiene valor si está a mano. Algunos reflejos la hacen utilizable cuando llegue el momento.

• Imprimirla o fijarla cerca del puesto de trabajo, en especial en soporte, contabilidad y recepción.
• Convertirla en un modelo de correo listo para enviar al canal de notificación.
• Releerla en equipo cada trimestre, con un caso real anonimizado.
• Actualizarla con los apartados útiles para su profesión, por ejemplo el nombre del cliente citado, en el caso de un banco.

Los equipos de soporte informático y de contabilidad encuentran en ella un lenguaje común. Véase también el caso del soporte informático ante las peticiones de restablecimiento, y el método para decir no bajo presión mientras se anota.

¿Qué errores inutilizan una notificación?

• Esperar a estar seguro. La duda basta para notificar.
• Resumir en una frase. «Una llamada rara» no permite ninguna acción. Los apartados de la plantilla evitan esa vaguedad.
• Corregir de memoria. Escriba lo que oyó, no lo que cree que quería decir.
• Omitir lo que se dio. La vergüenza retrasa la notificación, y la organización paga el precio. Un empleado que lo dice todo pronto protege a los demás.
• Llamar a quien llamó para «verificar». Si devuelve la llamada, utilice el canal independiente descrito en el procedimiento de devolución de llamada.

Para el fraude bancario, la ficha de reflejos de Cybermalveillance.gouv.fr recomienda conservar las pruebas (números, mensajes, órdenes de transferencia). Aconseja también avisar al banco y presentar una denuncia. La misma lógica de conservación vale en la empresa.

¿Cómo crear una cultura de la notificación?

Se notifica si se sabe cómo, si es sencillo y si no se corre el riesgo de recibir un reproche. Tres palancas organizativas contribuyen a ello.

• Un canal único, recordado con regularidad, con un modelo de mensaje listo para rellenar.
• Una respuesta sistemática: agradecer y decir qué se ha hecho. Una notificación sin respuesta desanima a la siguiente.
• Una regla sin culpa: se felicita a quien notifica, también cuando ha caído en la trampa.

La práctica oral ayuda también. En un juego de rol con Face Up, el alumno recibe la llamada de un personaje que presiona. Al terminar, rellena de memoria su plantilla de notificación. El informe de resultados (debriefing) compara sus notas con lo que se dijo realmente, con las citas de la sesión. El formador escribe el escenario a partir de las llamadas que su organización ha recibido de verdad.

El conjunto del planteamiento se describe en la guía de concienciación en ciberseguridad y vishing.

Preguntas frecuentes

¿Debo notificar una llamada si no he dado nada?

Sí. La llamada es una información para el equipo de seguridad, y es posible que otros compañeros estén recibiendo llamadas. Con la plantilla lleva dos minutos.

¿Hay que grabar la llamada?

No sin un marco. La grabación de una conversación se rige por normas precisas. Pregunte a su responsable de seguridad o al delegado de protección de datos qué permite su organización. Las notas escritas suelen bastar.

¿Qué hacer si ya no recuerdo los detalles?

Notifique igualmente, con lo que tenga, y anote lo que ya no sabe. Un recuerdo parcial, de hace unos minutos, vale más que nada. Anote los detalles en la hora siguiente.

Para entrenar a sus equipos a detectar, rechazar y después notificar, reserve una demostración de Face Up y vea cómo un formador construye su escenario.