Ciberseguridad
NIS2 => normativa europea medianas y grandes empresas => sectores críticos: banca, energía, salud, infraestructura, etc. España es el 5to país más atacado.
Implicaciones Retos
GDPR
Reglamento de protección de datos. Para Europa. Donde están los datos, como se manejan, donde se alojan. Consentimiento de los usuarios. Donde me quiero posicionar y que tan estricto quiero aplicar las normas.
Notificación de las brechas de seguridad, dentro de las 72 horas. Si hay grandes volumenes de datos, es conveniente tener un delegado de protección de datos (DPO).
Resiliencia
Tener un registro de todo lo que se ha decidido (histórico) para poder justificar y reaccionar frente a un ataque.
Tener documentación que explique que implicaciones hay cuando se hace o se pide algo que cuando no. Luego cuando hay incidentes o robo de datos por negligencia, será lo que respalde que las decisiones.
Disaster Recovery Plan
Siempre generar un BIA => Business Impact Analysis BCP => Business Continuity PLan
Basasndote en toda la información de negocio y basandote en IT, definir los procesos criticos, la información, donde está la información. Para cada escenario, pensar:
¿Que pasa si hoy pasa X y no podes hacer Y?
Definir el tiempo máximo de recuperación.
Una vez que tengo los días, veo los SERVIDORES / SERVICIOS que dan soporte a los procesos y en base a eso defino cuales requieren prioridad de recuperación.
Puede haber casos donde el tiempo de recuperación 0.
Todas las decisiones se hacen en base a lo que negocio indica.
Este plan contempla la recuperación de sistemas individuales, pero no cuando tener un ramsomware masivo que afecte a todos los sistemas, en este caso la recuperación será mucho más lenta, pero este detalle debe estár claro en el PLAN.