R-110-018 Formación ENS: Detección y Reacción ante Incidentes de Seguridad
Material formativo para la segunda de las 3 formaciones obligatorias ENS (MP.PER.4), destinada a todo el personal dentro del alcance del ENS.
Datos de la formación
| Campo | Valor |
|---|---|
| Código | ENS-FORM-002 |
| Duración | 2 horas |
| Modalidad | Online (videoconferencia) |
| Fecha planificada | Septiembre 2026 |
| Público objetivo | Todo el personal en alcance ENS (7 personas) |
| Responsable | RSEG |
| Referencia ENS | MP.PER.4, OP.EXP.7 |
Contenido
Módulo 1: Qué es un incidente de seguridad (20 min)
1.1 Definición
Un incidente de seguridad es cualquier evento que compromete o puede comprometer la confidencialidad, integridad, disponibilidad, autenticidad o trazabilidad de la información o los servicios del sistema.
1.2 Ejemplos de incidentes
| Tipo | Ejemplos |
|---|---|
| Acceso no autorizado | Login desde ubicación inusual, cuenta comprometida, escalada de privilegios |
| Código dañino | Ransomware, troyano, spyware detectado por WatchGuard EPDR |
| Denegación de servicio | Caída del servicio por ataque DDoS, saturación de recursos |
| Fuga de información | Envío accidental de datos clínicos, exposición de API keys |
| Ingeniería social | Phishing, suplantación de identidad, pretexting |
| Compromiso de credenciales | Contraseña filtrada en brecha externa, reutilización detectada |
Módulo 2: Clasificación de incidentes — Guía CCN-STIC 817 (30 min)
2.1 Categorías según Guía 817
| Categoría | Descripción | Ejemplo |
|---|---|---|
| Contenido abusivo | Spam, acoso, contenido ilegal | Email masivo desde cuenta comprometida |
| Código dañino | Virus, gusanos, troyanos, ransomware | Alerta WatchGuard de malware |
| Obtención de información | Escaneos, sniffing, phishing | Intento de phishing dirigido |
| Intento de intrusión | Explotación de vulnerabilidades, fuerza bruta | Múltiples intentos de login fallidos |
| Intrusión | Compromiso de cuenta, defacement | Acceso confirmado por atacante |
| Disponibilidad | DoS, DDoS, sabotaje | Servicio caído por ataque |
| Compromiso de información | Acceso no autorizado a datos, exfiltración | Descarga masiva de datos |
| Fraude | Suplantación, phishing exitoso | CEO fraud por email |
2.2 Niveles de peligrosidad
| Nivel | Descripción | Tiempo de respuesta |
|---|---|---|
| Crítico | Afecta a datos clínicos o servicio esencial | Inmediato (< 4h) |
| Muy alto | Compromiso confirmado de sistema en producción | < 8h |
| Alto | Intento de intrusión con indicios de éxito parcial | < 24h |
| Medio | Incidente contenido sin impacto en producción | < 48h |
| Bajo | Evento de seguridad menor, sin impacto real | < 72h |
Módulo 3: Procedimiento interno de comunicación (30 min)
3.1 Cómo reportar un incidente
Canal principal: Email al Responsable de Seguridad (RSEG)
Información mínima a incluir:
- ¿Qué has observado? (descripción del evento)
- ¿Cuándo ocurrió? (fecha y hora aproximada)
- ¿Qué sistemas están afectados?
- ¿Has tomado alguna acción? (ej. desconectar el equipo)
Acciones inmediatas del usuario:
- No apagar el equipo (se perderían evidencias en memoria)
- Desconectar de la red Wi-Fi si se sospecha malware activo
- No intentar resolver el problema por cuenta propia
- Documentar lo ocurrido con capturas de pantalla si es posible
- Comunicar al RSEG sin demora
3.2 Flujo de gestión
- Detección → Usuario o sistema automatizado (Wazuh, WatchGuard)
- Notificación → Al RSEG por email
- Clasificación → RSEG clasifica según Guía 817
- Contención → Medidas inmediatas para limitar el impacto
- Erradicación → Eliminar la causa del incidente
- Recuperación → Restaurar servicios afectados
- Lecciones aprendidas → Documentar y mejorar procedimientos
3.3 Notificación a CCN-CERT
Para incidentes de nivel Alto o superior, el RSEG notifica al CCN-CERT conforme al procedimiento OP.EXP.7.
Módulo 4: Herramientas de detección (20 min)
4.1 WatchGuard EPDR
- Protección en tiempo real contra malware y amenazas avanzadas
- Cada empleado puede ver el estado del agente en su equipo
- Si el icono de WatchGuard no aparece en la barra de menú, comunicar al RSIS
4.2 Wazuh (SIEM)
- Monitorización centralizada de eventos de seguridad
- Correlación de logs de AWS, Google Workspace y endpoints
- Alertas automáticas que el RSEG revisa diariamente
Módulo 5: Ejercicio práctico (20 min)
Se presentan 5 escenarios simulados. Para cada uno, los asistentes deben identificar:
- ¿Es un incidente de seguridad?
- ¿Qué categoría de la Guía 817?
- ¿Qué nivel de peligrosidad?
- ¿Qué acciones inmediatas tomarías?
Escenarios:
- Recibes un email de "Google" pidiendo verificar tu contraseña
- WatchGuard muestra una alerta de "malware detected" en tu Mac
- No puedes acceder a tu cuenta de AWS — dice "password changed"
- Un compañero te pide sus credenciales de GitHub porque "olvidó las suyas"
- Notas que un bucket S3 tiene permisos públicos de lectura
Evaluación
Cuestionario de 10 preguntas + resolución de los 5 escenarios prácticos. Puntuación mínima: 70%.
Signature meaning
The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:
- Author: Team members involved
- Reviewer: JD-003 Design & Development Manager, JD-004 Quality Manager & PRRC
- Approver: JD-001 General Manager