En resumen: lo mejor es encontrar un proveedor de seguridad TI antes de necesitarlo con urgencia. Compare proveedores con preguntas concretas: cómo proceden, quién trabaja en sus sistemas, cómo se aseguran las pruebas, qué contiene el informe y dónde están los límites de su oferta. Los proveedores serios responden con claridad y por escrito. Las promesas absolutas, la presión y las descripciones vagas del servicio son señales de alarma.
Por qué la elección es difícil precisamente ahora
Tras una situación como PHP2Shell, la demanda de servicios de seguridad se dispara de golpe. Al mismo tiempo aparecen ofertas que suenan rápidas, completas y baratas. Para las empresas sin departamento de seguridad propio es difícil distinguir la calidad del buen marketing.
A ello se suma la presión de tiempo. Quien sospecha una intrusión quiere ayuda inmediata y no tiene una semana para comparar. Por eso compensa tomar la decisión en tiempos de calma y aclarar de antemano los puntos clave. Si necesita siquiera un proveedor lo responde nuestro artículo ¿Resolverlo uno mismo o buscar un proveedor?. Aquí se trata de cómo encontrar al adecuado.
Encontrar un proveedor de seguridad TI: las 12 preguntas
Haga estas preguntas a cada proveedor que considere. Las respuestas deberían ser concretas y, a ser posible, por escrito.
- ¿Qué sistemas conocen por trabajo propio? Un proveedor de seguridad de redes no tiene por qué ser experto en PHP-FPM, Plesk o contenedores. Pregunte por los entornos en los que el equipo trabaja con regularidad.
- ¿Quién trabaja en concreto en nuestros sistemas? ¿Personal propio, socios o subcontratistas? Con socios debería estar claro quién asume qué tarea y quién sigue siendo responsable frente a usted.
- ¿Cómo es su procedimiento en los primeros pasos? Las buenas respuestas mencionan contención, preservación de pruebas e inventario antes de cualquier limpieza, tal como prevé también la lista de comprobación tras un hackeo.
- ¿Cómo aseguran las pruebas? ¿Se guardan registros y archivos antes de cualquier cambio, con marca de tiempo y suma de verificación? Es importante para el seguro, las notificaciones y una posible denuncia.
- ¿Qué accesos necesitan y cómo los gestionan? Los proveedores serios solo piden los derechos necesarios, usan cuentas personales y devuelven los accesos al terminar.
- ¿Hay un acuerdo por escrito antes del acceso? Incluye el alcance, las facultades y, en caso de datos personales, un contrato de encargo de tratamiento. Más información en Encargo de tratamiento cuando los proveedores acceden al servidor.
- ¿Quién decide sobre los pasos de gran alcance? Apagar, borrar, reinstalar: el proveedor debería proponer y justificar tales pasos; la decisión sigue en sus manos.
- ¿Qué contiene el informe final? Pida un ejemplo sin datos de clientes. Un buen informe separa lo acreditado, lo probable y lo desconocido, y señala los puntos abiertos.
- ¿Cómo se comunican durante el encargo? ¿Hay interlocutores fijos, informes de situación periódicos y un canal claro para consultas urgentes?
- ¿Dónde están los límites de su oferta? El asesoramiento jurídico, la comunicación con las autoridades o los peritajes forenses para tribunales no los asume cualquiera. Un proveedor serio lo dice por sí mismo.
- ¿Cómo se factura? ¿Por tiempo dedicado, a tanto alzado o como contrato marco? Pida que le expliquen qué está incluido y qué no, para que después no haya sorpresas.
- ¿Qué ocurre después del incidente? ¿El proveedor apoya en el seguimiento, el refuerzo y una atención permanente, o el encargo termina con la limpieza?
Señales de alarma en las ofertas
Algunas formulaciones deberían ponerle en guardia. Entre ellas, las promesas de seguridad absoluta, la afirmación de que tras una limpieza «seguro que ya no queda nada» en el servidor, y las afirmaciones que conocen el resultado sin inventario previo. Los buenos proveedores hablan de probabilidades y de pruebas.
También hay que ser prudente si un proveedor insiste en los accesos antes de aclarar el alcance y las facultades, o si se pone en contacto sin que usted lo pida, por correo o por teléfono, y afirma que su servidor ha sido hackeado. En semanas de crisis, los estafadores usan estas artimañas. Compruebe el remitente por una vía independiente antes de reaccionar.
Otro aviso: logotipos, sellos y distinciones se colocan con facilidad en un sitio web. En caso de duda, pregunte quién ha concedido un sello y qué se auditó para ello.
Ayudas de orientación públicas
El BSI publica listas de proveedores cualificados para determinados ámbitos, por ejemplo para la respuesta a los llamados ataques APT, es decir, ataques dirigidos y de largo plazo, y para la defensa frente a ataques DDoS. Estas listas son una buena orientación para organizaciones con la necesidad correspondiente. Un incidente típico en un único servidor web a menudo no entra en estas categorías; aquí también entran en consideración proveedores que no figuran en ellas.
Son útiles además las recomendaciones de la propia red de contactos, por ejemplo de asociaciones sectoriales, cámaras, su aseguradora u otras empresas que hayan vivido un incidente. Algunas aseguradoras de ciberriesgos mencionan en sus condiciones interlocutores o proveedores propios para el siniestro. Revise su póliza antes de contratar por su cuenta.
Anote las respuestas a las doce preguntas en una breve tabla y guárdela junto al plan de emergencia. En caso de emergencia sabrá de inmediato a quién llamar y qué se ha acordado.
Dejar por escrito lo que cuenta
Incluso con una buena elección, los puntos más importantes deberían estar regulados por escrito: alcance del servicio, accesos y su devolución, confidencialidad, trato de las pruebas, obligaciones de informe y facturación. Qué cláusulas tienen sentido lo describe Contratos con proveedores de TI: regular con claridad las obligaciones de seguridad. Si su contrato encaja jurídicamente lo revisa un abogado; nosotros aportamos los puntos técnicos.
¿Cómo ayuda PHP SOS en concreto?
- Respondemos por escrito a las doce preguntas para nuestra propia oferta antes de que nos contrate, también sobre los límites de nuestro servicio.
- Decimos abiertamente qué tareas asumimos nosotros mismos y dónde trabajamos con socios especializados, por ejemplo en informática forense o pruebas de penetración.
- Acordamos el alcance, las facultades y, si hace falta, el encargo de tratamiento antes del primer acceso.
- En un incidente trabajamos según el procedimiento de nuestra respuesta a incidentes: contener, asegurar, limpiar, documentar.
Conclusión
Al proveedor de seguridad adecuado no se le reconoce por la promesa más ruidosa, sino por respuestas claras a preguntas concretas. Quien hace las doce preguntas en tiempos de calma y deja constancia de los resultados decide en caso de emergencia con más rapidez y acierto.
Preguntas frecuentes
¿En qué reconozco a un proveedor de seguridad TI serio?
En afirmaciones claras sobre el procedimiento, las responsabilidades y los límites, en un acuerdo por escrito antes del acceso y en un informe que separa lo acreditado de lo supuesto. Conviene desconfiar de las promesas absolutas y de la presión para entregar accesos de inmediato.
¿Mantiene el BSI una lista de proveedores?
El BSI (Oficina Federal alemana para la Seguridad de la Información) publica listas de proveedores cualificados para determinados ámbitos, por ejemplo para la respuesta a ataques APT y para la defensa frente a ataques DDoS. Estas listas se refieren a situaciones especiales; para un incidente típico de servidor web también entran en consideración otros proveedores.
¿Debería pedir varias ofertas?
En encargos planificables como el refuerzo, la auditoría o un contrato de mantenimiento, sí. En una emergencia aguda a menudo falta tiempo para ello. Por eso es aún más importante elegir un proveedor de antemano y aclarar los puntos clave antes de que ocurra algo.
¿Puede el proveedor apagar sistemas o borrar datos por su cuenta?
Solo si usted lo ha acordado expresamente. Un buen proveedor pregunta antes de pasos de gran alcance y documenta su decisión. Establezca de antemano quién de su lado puede tomar tales decisiones.