El informe del incidente

Después de un incidente, otras personas necesitan entender qué ocurrió. Un informe del incidente explica los hechos: cuándo entró el atacante, cómo entró, qué cuentas usó y qué información se llevó.

Por ejemplo, supongamos que las pruebas muestran que Lee reutilizó una contraseña robada. El primer inicio de sesión correcto fue a las 08:12:04 y el atacante copió los contactos de proveedores. Registrarías esos hechos por separado:

seclab answer first 08:12:04

Deberías ver:

Recorded your answer to first.

seclab answer entry reused password

Deberías ver:

Recorded your answer to entry.

seclab answer accounts lee

Deberías ver:

Recorded your answer to accounts.

seclab answer loss supplier contacts

Deberías ver:

Recorded your answer to loss.

Usa la hora a la que el atacante entró por primera vez, que puede ser anterior a la alarma. En cuanto a la pérdida de datos, informa de lo que realmente se llevó. Si detuviste una descarga mayor antes de que ocurriera, no la cuentes como información que recibió el atacante.