Procedimiento de Notificación a CCN-CERT

Resumen Ejecutivo

Este documento establece los procedimientos específicos para la notificación y coordinación con el Centro Criptológico Nacional - Equipo de Respuesta ante Incidentes de Seguridad de la Información (CCN-CERT) conforme a los requisitos del Esquema Nacional de Seguridad (ENS) y la coordinación nacional en ciberseguridad.

Referencias Normativas

• Real Decreto 311/2022: Esquema Nacional de Seguridad
• CCN-STIC-804: Guía de Implantación del ENS
• CCN-STIC-817: Esquema Nacional de Seguridad - Gestión de incidentes de seguridad
• CCN-STIC-830: Marco de Capacidades de Ciberseguridad Nacional
• Directiva NIS2 (UE) 2022/2555: Ciberseguridad de redes y sistemas de información
• T-024-008: Plan de Respuesta a Incidentes NIS2

Contexto y Objetivos

Marco de Actuación

El CCN-CERT es el Centro de Respuesta a Incidentes de Seguridad de la Información del Centro Criptológico Nacional (CCN), organismo dependiente del Ministerio de Defensa de España. Su misión incluye:

• Coordinación nacional en materia de ciberseguridad
• Intercambio de información sobre amenazas y vulnerabilidades
• Apoyo técnico en respuesta a incidentes críticos
• Desarrollo de capacidades de ciberseguridad nacional
• Coordinación internacional con otros CERTs

Obligaciones ENS para Legit Health

Como entidad que maneja información de categoría MEDIA y presta servicios críticos del sector salud, Legit Health tiene las siguientes obligaciones:

Notificación de Incidentes Significativos

• Plazo: 24 horas para notificación inicial
• Seguimiento: 72 horas para información detallada
• Criterios: Incidentes que afecten a la seguridad nacional o sectores estratégicos

Cooperación en Investigaciones

• Intercambio de información sobre amenazas y vulnerabilidades
• Participación en ejercicios nacionales de ciberseguridad
• Implementación de recomendaciones de seguridad

Coordinación Sectorial

• Representación en el grupo sectorial de salud
• Intercambio de mejores prácticas sectoriales
• Colaboración en el análisis de riesgos sectoriales

Criterios de Notificación a CCN-CERT

Incidentes de Notificación Obligatoria

Criterios por Impacto

Criterio	Umbral	Ejemplo
Impacto Nacional	Afectación a múltiples CCAA	Ciberataque coordinado
Sector Estratégico	Servicios sanitarios críticos	Interrupción diagnósticos masiva
Datos Sensibles	> 10.000 ciudadanos afectados	Brecha de datos sanitarios
Infraestructura Crítica	Servicios esenciales afectados	Caída de sistemas hospitalarios
Amenaza Persistente	APT o amenazas estatales	Grupo APT dirigido a sanidad

Criterios por Tipo de Incidente

Incidentes_Notificación_Inmediata:
  Ransomware:
    - todas_las_variantes
    - independientemente_del_impacto
    - coordinación_nacional_necesaria

  Ataques_Estado_Nación:
    - APT_confirmado_o_sospechoso
    - indicadores_geopolíticos
    - técnicas_avanzadas_persistentes

  Vulnerabilidades_Críticas:
    - zero_day_en_sistemas_críticos
    - vulnerabilidades_sector_salud
    - exploits_en_dispositivos_médicos

  Campañas_Coordinadas:
    - múltiples_objetivos_simultáneos
    - patrones_TTPs_similares
    - coordinación_nacional_requerida

Incidentes_Notificación_Discrecional:
  Ataques_Localizados:
    - impacto_limitado_organizacional
    - sin_indicadores_coordinación
    - amenazas_oportunistas

  Vulnerabilidades_Menores:
    - parches_disponibles
    - sin_explotación_confirmada
    - riesgo_bajo_para_sector

Matriz de Decisión de Notificación

Severidad	Impacto Sectorial	Coordinación Nacional	Notificar CCN-CERT
Crítico	Alto	Necesaria	✅ Inmediato
Crítico	Medio/Bajo	No necesaria	✅ 24 horas
Alto	Alto	Necesaria	✅ 24 horas
Alto	Medio	Posible	⚠️ Evaluación
Alto	Bajo	No necesaria	❌ Opcional
Medio	Alto	Necesaria	⚠️ Evaluación
Medio/Bajo	Cualquiera	No necesaria	❌ No notificar

Canales de Comunicación con CCN-CERT

Canales Oficiales

Canal Principal - Email Seguro

• Dirección: incidents@ccn-cert.cni.es
• Uso: Notificaciones oficiales de incidentes
• Cifrado: PGP obligatorio para información clasificada
• Respuesta: 24-48 horas en horario laboral

Canal de Emergencia - Teléfono

• Número: +34 91 709 45 00 (Centralita CCN)
• Extensión: Solicitar CCN-CERT
• Disponibilidad: 24×7×365
• Uso: Solo para incidentes críticos con impacto nacional

Portal Seguro - LUCIA

• URL: https://www.ccn-cert.cni.es/lucia
• Acceso: Certificado digital requerido
• Funcionalidad:
  • Notificación estructurada de incidentes
  • Intercambio de IOCs (Indicators of Compromise)
  • Recepción de alertas tempranas
  • Descarga de herramientas y firma digital

Canal de Coordinación - STIX/TAXII

• Protocolo: STIX 2.1 / TAXII 2.1
• Servidor: taxii.ccn-cert.cni.es
• Autenticación: Certificado digital CCN
• Uso: Intercambio automatizado de threat intelligence

Configuración Técnica de Canales

Configuración PGP

# Importar clave pública CCN-CERT
gpg --import ccn-cert-public.key

# Verificar huella digital
gpg --fingerprint incidents@ccn-cert.cni.es

# Cifrar comunicación
gpg --armor --encrypt --recipient incidents@ccn-cert.cni.es \
    --output incidente_cifrado.asc incidente.txt

Integración Portal LUCIA

# Configuración cliente LUCIA
import requests
import ssl
from pathlib import Path

class LuciaClient:
    def __init__(self, cert_path, key_path):
        self.base_url = "https://www.ccn-cert.cni.es/lucia/api"
        self.cert = (cert_path, key_path)

    def notify_incident(self, incident_data):
        endpoint = f"{self.base_url}/incidents"
        headers = {
            'Content-Type': 'application/json',
            'X-API-Version': '2.0'
        }

        response = requests.post(
            endpoint,
            json=incident_data,
            cert=self.cert,
            headers=headers,
            verify=True
        )

        return response.json()

# Uso
client = LuciaClient('/path/to/cert.pem', '/path/to/key.pem')

Procedimientos de Notificación

Notificación Inmediata (< 1 hora)

Detección y Evaluación Inicial

Información Mínima Requerida

Plantilla de Notificación Inmediata:

NOTIFICACIÓN INMEDIATA DE INCIDENTE - CCN-CERT

INFORMACIÓN DE LA ENTIDAD:

- Organización: Legit Health, S.L.
- Sector: Sanitario - Dispositivos Médicos Software
- NIF: B01234567
- Contacto 24/7: [Responsable Seguridad ENS]
- Teléfono: +34 XXX XXX XXX
- Email: incidents@legit.health

DATOS DEL INCIDENTE:

- ID Interno: [INC-YYYY-NNNN]
- Fecha/Hora Detección: [YYYY-MM-DD HH:MM UTC]
- Tipo de Incidente: [Ransomware/APT/Vulnerabilidad/DDoS/Otros]
- Severidad: [Crítico/Alto/Medio/Bajo]
- Estado: [Activo/Contenido/Resuelto]

IMPACTO PRELIMINAR:

- Sistemas Afectados: [Descripción]
- Usuarios Afectados: [Número estimado]
- Servicios Críticos: [Diagnósticos/Telemedicina/Otros]
- Impacto Sectorial: [¿Otros hospitales afectados?]
- Datos Comprometidos: [Tipo y volumen]

AMENAZA IDENTIFICADA:

- Vector de Ataque: [Phishing/Vulnerabilidad/Insider/Otros]
- Indicadores Técnicos: [IPs/Dominios/Hashes]
- Atribución Preliminar: [Grupo APT/Ransomware/Desconocido]
- TTPs Observadas: [MITRE ATT&CK IDs]

ACCIONES INMEDIATAS:

- Medidas de Contención: [Descripción]
- Evidencias Preservadas: [Tipos]
- Autoridades Notificadas: [INCIBE/AEMPS/Otros]
- Soporte Externo: [¿Necesario?]

PRÓXIMAS ACCIONES:

- Análisis Forense: [Planificado/En curso]
- Notificación 72h: [Fecha prevista]
- Soporte CCN-CERT: [¿Requerido?]

INFORMACIÓN DE CONTACTO CONTINUO:

- Incident Commander: [Nombre] - [Teléfono] - [Email]
- Responsable Técnico: [Nombre] - [Teléfono] - [Email]

[Firma Digital/Certificado]

Notificación Detallada (72 horas)

Análisis Técnico Completo

La notificación a 72 horas debe incluir:

1. Análisis de Amenaza Completo

Análisis_Técnico:
  Vectores_Ataque:
    - punto_entrada_inicial
    - técnicas_movimiento_lateral
    - métodos_escalada_privilegios
    - técnicas_persistencia

  Indicadores_Compromiso:
    - direcciones_ip_maliciosas
    - dominios_command_control
    - hashes_malware
    - firmas_red_específicas
    - comportamientos_anómalos

  Atribución:
    - grupo_amenaza_identificado
    - TTPs_específicas
    - infraestructura_común
    - motivaciones_aparentes

2. Impacto Sectorial y Nacional

Evaluación_Impacto:
  Sector_Sanitario:
    - hospitales_potencialmente_vulnerables
    - sistemas_similares_riesgo
    - patrones_ataque_sector
    - recomendaciones_protección

  Impacto_Nacional:
    - otros_sectores_riesgo
    - infraestructuras_críticas
    - cadenas_suministro_afectadas
    - ciudadanos_potencialmente_afectados

Plantilla de Notificación 72 Horas

INFORME DETALLADO 72 HORAS - CCN-CERT

REFERENCIA CRUZADA:

- Notificación Inicial: [Fecha/Hora/Referencia]
- ID CCN-CERT: [Si asignado]
- Incidentes Relacionados: [Si aplicable]

RESUMEN EJECUTIVO:
[Descripción ejecutiva del incidente, impacto y resolución]

CRONOLOGÍA DETALLADA:
[Timeline completo con timestamps UTC]

ANÁLISIS TÉCNICO FORENSE:

- Vectores de Ataque: [Análisis detallado]
- Técnicas Utilizadas: [MITRE ATT&CK mapping]
- Herramientas Maliciosas: [Análisis de malware]
- Infraestructura C&C: [Servidores/dominios]
- Datos Exfiltrados: [Tipos y volúmenes]

INDICADORES DE COMPROMISO (IOCs):

IOC_Type,Value,Confidence,Context IP_Address,192.168.1.100,High,C&C Server Domain,malicious.example.com,Medium,Phishing File_Hash,SHA256:abc123...,High,Ransomware Registry_Key,HKLM\Software\Malware,High,Persistence

IMPACTO COMPLETO:
- Sistemas Comprometidos: [Inventario completo]
- Datos Afectados: [Categorías y volúmenes]
- Tiempo de Interrupción: [Duración por servicio]
- Usuarios Afectados: [Números finales]
- Coste Estimado: [Económico y operativo]

MEDIDAS DE RESPUESTA:
- Contención: [Acciones técnicas detalladas]
- Erradicación: [Limpieza y eliminación amenazas]
- Recuperación: [Restauración servicios]
- Fortalecimiento: [Controles adicionales]

LECCIONES APRENDIDAS:
- Vulnerabilidades Explotadas: [Análisis causa raíz]
- Fallos en Detección: [Mejoras necesarias]
- Eficacia Respuesta: [Evaluación procedimientos]
- Recomendaciones Sector: [Para organizaciones similares]

INFORMACIÓN PARA COMPARTIR:
- IOCs Validados: [Para distribución]
- TTPs Documentadas: [Para threat intelligence]
- Vulnerabilidades Encontradas: [Para coordinación]
- Contramedidas Efectivas: [Para sector]

COLABORACIÓN INTERNACIONAL:
- Infraestructura Internacional: [Países involucrados]
- CERTs Coordinados: [Otros CERTs contactados]
- Atribución Geopolítica: [Si aplicable]

SEGUIMIENTO REQUERIDO:
- Monitorización Continua: [Indicadores a seguir]
- Threat Hunting: [Actividades proactivas]
- Coordinación Sectorial: [Acciones colectivas]
- Ejercicios Futuros: [Preparación sectorial]

[Firma Digital/Certificado]

Intercambio de Threat Intelligence

Protocolo STIX/TAXII

# Configuración cliente TAXII
from taxii2client.v21 import Server, as_pages

class CCNThreatIntelClient:
    def __init__(self, username, password):
        self.server = Server(
            "https://taxii.ccn-cert.cni.es/taxii2/",
            user=username,
            password=password
        )

    def publish_indicators(self, stix_bundle):
        """Publicar indicadores a CCN-CERT"""
        collection = self.server.api_root.collections[0]
        collection.add_objects(stix_bundle)

    def get_threat_intel(self, filters=None):
        """Obtener threat intelligence de CCN-CERT"""
        collection = self.server.api_root.collections[0]
        return list(as_pages(collection.get_objects, per_request=100, filters=filters))

# Ejemplo de uso
client = CCNThreatIntelClient("legit-health", "api-key")
intel = client.get_threat_intel({"type": "malware", "labels": "healthcare"})

Formato STIX para Incidentes Médicos

{
  "type": "bundle",
  "id": "bundle--legit-health-incident-001",
  "spec_version": "2.1",
  "objects": [
    {
      "type": "incident",
      "id": "incident--ransomware-healthcare-2025",
      "created": "2025-08-29T10:00:00.000Z",
      "modified": "2025-08-29T10:00:00.000Z",
      "name": "Ransomware Attack on Medical Device Platform",
      "description": "Targeted ransomware attack affecting diagnostic capabilities",
      "incident_types": ["malicious-code"],
      "confidence": 85,
      "labels": ["healthcare", "medical-devices", "ransomware"],
      "external_references": [
        {
          "source_name": "ccn-cert-incident",
          "external_id": "CCN-2025-001",
          "url": "https://www.ccn-cert.cni.es/incidents/CCN-2025-001"
        }
      ],
      "custom_properties": {
        "x_sector": "healthcare",
        "x_medical_device_type": "diagnostic-software",
        "x_patient_safety_impact": "medium",
        "x_regulatory_notifications": ["AEMPS", "INCIBE-CERT"]
      }
    }
  ]
}

Coordinación en Crisis

Activación del Mecanismo de Crisis

Criterios de Escalado a Crisis Nacional

• Amenaza coordinada contra múltiples entidades sanitarias
• Compromiso masivo de infraestructuras críticas de salud
• Ataque de estado-nación confirmado
• Vulnerabilidad zero-day en sistemas médicos críticos
• Campaña de desinformación con impacto en salud pública

Procedimiento de Escalado

Participación en Comité de Crisis

Roles de Legit Health en Crisis Nacional:

Rol	Responsabilidades	Contacto
Punto de Contacto Principal	Representación en comité de crisis	CTO/Responsable Seguridad
Experto Técnico	Análisis técnico especializado	Administrador de Seguridad
Enlace Sectorial	Coordinación con sector salud	CMO
Comunicaciones	Coordinación mensajes públicos	Communications Lead

Intercambio de Información Durante Crisis

Canales de Crisis

• Teléfono Secure: Línea directa con sala de crisis CCN-CERT
• Chat Cifrado: Canal dedicado para coordinación tiempo real
• Video Conferencia: Reuniones de coordinación (WebEx Gov)
• Portal de Crisis: Dashboard común de situación nacional

Información a Compartir

Información_Crítica:
  Estado_Sistemas:
    - disponibilidad_servicios_críticos
    - capacidad_operativa_reducida
    - sistemas_backup_activos
    - tiempo_estimado_recuperación

  Inteligencia_Técnica:
    - IOCs_nuevos_identificados
    - TTPs_específicas_observadas
    - vectores_ataque_confirmados
    - contramedidas_efectivas

  Impacto_Sectorial:
    - hospitales_afectados_conocidos
    - servicios_médicos_críticos_impactados
    - alternativas_operativas_disponibles
    - riesgo_extensión_lateral

Apoyo Técnico de CCN-CERT

Servicios de Apoyo Disponibles

Análisis Forense Avanzado

Capacidades CCN-CERT:

• Análisis de malware especializado
• Threat intelligence específica y contextualizada
• Ingeniería inversa de amenazas complejas
• Correlación con amenazas nacionales e internacionales

Proceso de Solicitud:

Threat Hunting Colaborativo

Actividades Conjuntas:

• Caza proactiva de amenazas en redes sanitarias
• Análisis de patrones de ataque sectoriales
• Desarrollo de reglas de detección específicas
• Validación de IOCs en entornos médicos

Desarrollo de Contramedidas

Servicios Especializados:

• Signatures para sistemas de detección
• Reglas YARA para identificación de malware
• Configuraciones hardening para dispositivos médicos
• Playbooks de respuesta específicos

Programa de Intercambio de Personal

Participación en Ejercicios CCN

Ejercicios Nacionales:

• Cyber Europe: Ejercicio anual UE
• Ciber ES: Ejercicio nacional de ciberseguridad
• Sectorial Sanidad: Ejercicio específico sanitario
• Red Team Nacional: Evaluación capacidades

Beneficios Participación:

• Networking con expertos nacionales
• Aprendizaje de mejores prácticas
• Validación de procedimientos propios
• Contribución al conocimiento sectorial

Formación Especializada

Programas CCN Disponibles:

• Curso CERT Avanzado: Para analistas senior
• Threat Intelligence: Análisis y producción
• Forensics Avanzado: Para investigaciones complejas
• Gestión de Crisis: Para responsables de seguridad

Métricas y Seguimiento

KPIs de Colaboración CCN-CERT

Métrica	Objetivo	Medición	Responsable
Tiempo notificación inicial	< 1 hora	Por incidente	Incident Commander
Completitud información 72h	100% campos obligatorios	Por notificación	Security Analyst
IOCs compartidos	> 80% IOCs validados	Mensual	Threat Intelligence
Participación ejercicios	100% ejercicios asignados	Anual	Responsable Seguridad
Formación equipo	1 curso/persona/año	Anual	RRHH + Seguridad

Evaluación de Efectividad

Métricas de Valor Añadido

Valor_Colaboración_CCN:
  Intelligence_Recibida:
    - alertas_tempranas_útiles
    - IOCs_relevantes_sector
    - TTPs_aplicables_entorno
    - recomendaciones_implementadas

  Soporte_Técnico:
    - análisis_malware_recibidos
    - threat_hunting_colaborativo
    - contramedidas_desarrolladas
    - herramientas_proporcionadas

  Coordinación_Sectorial:
    - incidentes_prevenidos
    - vulnerabilidades_mitigadas
    - mejores_prácticas_adoptadas
    - ejercicios_completados

Informe Anual de Colaboración

Contenido del Informe Anual:

1. Resumen de incidentes notificados y respuesta recibida
2. Threat intelligence utilizada y valor aportado
3. Ejercicios y formación completados
4. Mejoras implementadas basadas en recomendaciones CCN
5. Contribuciones al sector a través de CCN-CERT
6. Plan de mejora para el siguiente período

Aspectos Legales y de Cumplimiento

Marco Legal de la Colaboración

Habilitación Normativa

• Ley 11/2002 de regulación del CNI
• Real Decreto 311/2022 ENS - Artículo 40
• Directiva NIS2 - Artículos 23 y 24
• Estrategia Nacional de Ciberseguridad 2019

Obligaciones Legales

Obligaciones_Entidad:
  Cooperación:
    - intercambio_información_amenazas
    - participación_ejercicios_nacionales
    - implementación_recomendaciones_seguridad
    - reporte_incidentes_significativos

  Confidencialidad:
    - protección_información_clasificada
    - uso_autorizado_intelligence
    - no_revelación_fuentes_métodos
    - custodia_información_sensible

Protección de Datos y Privacidad

Tratamiento de Datos Personales

Bases Legales RGPD:

• Interés público (Artículo 6.1.e)
• Intereses legítimos (Artículo 6.1.f)
• Cumplimiento obligación legal (Artículo 6.1.c)

Minimización de Datos:

def sanitize_for_ccn_cert(incident_data):
    """Sanitizar datos personales antes de envío"""
    sanitized = incident_data.copy()

    # Eliminar información personal directa
    sanitized.pop('patient_names', None)
    sanitized.pop('personal_ids', None)

    # Pseudonimizar identificadores
    sanitized['affected_users'] = hash_user_ids(
        sanitized.get('affected_users', [])
    )

    # Generalizar datos geográficos
    sanitized['locations'] = generalize_locations(
        sanitized.get('locations', [])
    )

    return sanitized

Acuerdos de Confidencialidad

Cláusulas Específicas:

• Propósito limitado: Solo para ciberseguridad nacional
• Retención limitada: Según períodos establecidos CCN
• Acceso restringido: Personal autorizado únicamente
• No transferencia: Sin cesión a terceros sin autorización

Procedimientos de Mejora Continua

Revisión Trimestral

Evaluación de Procedimientos

Aspectos a Revisar:

• Efectividad de canales de comunicación
• Tiempos de respuesta de notificaciones
• Calidad de información intercambiada
• Utilidad del soporte técnico recibido
• Participación en actividades de coordinación

Identificación de Mejoras

Plan_Mejora_Continua:
  Procedimientos:
    - automatización_notificaciones
    - templates_mejorados
    - integración_herramientas
    - formación_específica

  Tecnología:
    - APIs_intercambio_automático
    - dashboards_coordinación
    - herramientas_colaborativas
    - sistemas_cifrado_mejorados

  Personas:
    - certificaciones_adicionales
    - intercambio_personal
    - participación_grupos_trabajo
    - networking_sectorial

Adaptación a Nuevas Amenazas

Evolución Panorama de Amenazas

Monitorización Continua:

• Nuevos vectores de ataque en sanidad
• TTPs emergentes en dispositivos médicos
• Campañas específicas contra sector salud
• Vulnerabilidades críticas en tecnologías médicas

Actualización Procedimientos

Triggers de Actualización:

• Nuevas regulaciones ENS o NIS2
• Cambios organizativos en CCN-CERT
• Lecciones aprendidas de incidentes
• Evolución tecnológica de amenazas

Referencias Cruzadas e Integración

Integración con Otros Procedimientos

Marco ENS Legit Health

Documento ENS	Punto de Integración	Descripción
OP.EXP.7	Gestión de incidentes general	Escalado específico a CCN-CERT
OP.MON.1	Detección de intrusión	Alertas que requieren notificación
OP.CONT.2	Plan de continuidad	Coordinación nacional en crisis
T-110-007	Matriz RACI	Responsabilidades de notificación

Marco Regulatorio Médico

Documento Médico	Integración CCN-CERT	Coordinación
T-024-008	Plan respuesta incidentes	Notificaciones paralelas
R-TF-013-002	Registro de riesgos	Amenazas identificadas CCN
Vigilancia Post-Comercial	Incidentes de seguridad	Coordinación con AEMPS

Trazabilidad y Documentación

Registro de Comunicaciones

Registro_Comunicaciones_CCN:
  Campos_Obligatorios:
    - fecha_hora_comunicación
    - tipo_comunicación
    - contenido_resumen
    - personal_involucrado
    - seguimientos_requeridos
    - referencias_cruzadas
    - clasificación_información

  Retención:
    - comunicaciones_incidentes: 7_años
    - threat_intelligence: 5_años
    - ejercicios_formación: 3_años
    - coordinación_rutinaria: 1_año

Evidencias de Cumplimiento

Documentación para Auditorías:

• Registros de notificaciones realizadas
• Evidencias de participación en ejercicios
• Certificados de formación CCN
• Implementación de recomendaciones recibidas
• Contribuciones al sector a través de CCN

Signature meaning

The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:

• Author: Team members involved
• Reviewer: JD-003, JD-004
• Approver: JD-001