Abre la carpeta
Elige la carpeta de trabajo que contiene tus procedimientos y selecciona Ask first para que cualquier cambio espere tu OK.
Flujos de trabajo
Marco de respuesta a incidentes NIST: revisa tu procedimiento paso a paso
03
Compara un procedimiento con guías públicas
El marco de respuesta a incidentes NIST significa aquí SP 800-61, la guía de manejo de incidentes de NIST con 4 fases. Elige un procedimiento. Compáralo con esas fases, empezando por la sección que más dolores de cabeza le da a tu equipo en la gestión de incidentes, y anota las lagunas.
Lee la guía pública
Pídele al agente que lea la guía con web_search y http_get, y que anote sus fases en un archivo de notas.
Compara las fases
El agente lee tu procedimiento con read_file y grep, y luego enumera qué fases cubre y cuáles nunca menciona.
Revisa el diff
Lee cada edición propuesta como un diff, acepta las que encajen con tu organización y rechaza las demás.
Una lista de verificación corta que el agente puede escribir
Compara docs/triage.md con las fases de la guía pública y enumera lo que falta.
- web_search
NIST SP 800-61 phases3 resultados - http_get
nist.gov SP 800-61 pageobtenida - read_file
docs/triage.mdleído - grep
recovery0 coincidencias - edit_file
docs/triage.md+8 líneas
Esperando tu OK antes del siguiente pasoRechazarAceptar
ir-checklist.md
# Incident checklist
## Prepare
- [ ] Review the contact list and owners
- [ ] Confirm the backup channel is written down
## Triage
- [ ] Open an incident record with date and time
- [ ] Note who reported it and how
## Contain
- [ ] Record who approves each decision
- [ ] Note times and keep copies of logs
## Communicate
- [ ] Tell the people listed in the plan
## Review
- [ ] Hold a review and assign owners and datesEl archivo es corto. Un equipo pequeño puede mantener una lista como esta en una sola página, con 5 encabezados de fase y unas pocas líneas de tareas cada uno, y hacerla crecer más adelante hasta un plan de respuesta cibernética.
Contrasta un borrador con el marco de respuesta a incidentes SANS
Compara los pasos de dos guías públicas
El marco de respuesta a incidentes SANS suele enseñarse en seis pasos: preparación, identificación, contención, erradicación, recuperación y lecciones aprendidas. Pídele al agente que ponga esos pasos junto a las 4 fases de SP 800-61 en una tabla. web_search encuentra las páginas y http_get descarga una página a la vez. Luego read_file abre tu procedimiento y grep busca cada paso por su nombre, de modo que el resultado es una tabla de los pasos que tu documento nombra y los que omite. Todavía no se edita nada. Lee la tabla tú mismo y decide con tus colegas qué lagunas importan antes de cualquier edición.
Añade a quién se avisa, cuándo y cómo
Un plan de comunicación responde a quién se avisa, cuándo, quién lo hace y por qué canal, y un canal de respaldo no debe depender de los sistemas que puedan verse afectados. Si evalúas a proveedores externos, pídele a cada uno un contacto para incidentes y añádelo a la lista, porque un incidente en un proveedor puede afectar tus propios sistemas. read_file abre la lista y edit_file añade una sección de comunicación para la dirección, TI, el área legal, RR. HH., el personal afectado, los clientes y las autoridades. Las obligaciones y los plazos de notificación cambian según el país y el sector, así que confírmalos con un abogado; esto no es asesoría legal. Ask first muestra el diff. Después llama tú mismo a cada contacto una vez para probar la lista.
