Respuesta a incidentes y fugas

1) Objetivo, principios y alcance

Objetivo: reducir los daños y riesgos legales, garantizar la continuidad de las operaciones y la probabilidad de las acciones en incidentes de seguridad/cumplimiento.
Principios: «contener rápidamente → confirmar con precisión → documentar con transparencia → notificar legalmente → evitar la repetición».
Cobertura: ciberincidentes (DDoS, ATO, hackeos, vulnerabilidades), filtraciones de datos PII/de pago, violaciones de AML/KYC/sanciones, fallas de proveedores (KYC/PSP), incidentes publicitarios/juegos responsables (RG), comprometidos socios.

2) Clasificación y desencadenantes de gravedad

3) Escalamiento del SLA y «puente de incidentes»

Iniciación: Con High/Critical, se crea una sala de guerra (chat/llamada), asignada por el Comandante de Incidentes (IC).
SLA: Info — n/a; Low - 24 horas; Medium — 4 ч; Alta - 1 hora; Critical - 15 minutos.
Roles en bridge: IC, Security Lead, SRE/Ops, Compliance (Deputy IC por legalidad), Legal/DPO, Payments/FRM, Support/VIP, PR/Comms, Data/Forensics.

4) Proceso de respuesta (pila SANS/NIST en adaptación)

1. Preparación: runbooks, listas de contactos, proveedores de respaldo, alertas de prueba, accesos «predeterminados cerrados».
2. Identificación: correlaciones SIEM/SOAR, reglas antifraude, señales KRI; confirmación de hecho/volumen.
3. Contención (Containment): segmentación, desactivación de fiches/endpoints vulnerables, restricciones geográficas, flags de características, límites de tiempo/hornos.
4. Eliminación (Eradication): parche/rotación de claves, bloque de cuentas/dispositivos, limpieza de artefactos maliciosos, reencarnación de imágenes.
5. Recuperación (Recovery): validación de la integridad, incorporación gradual del tráfico (pools canarios), monitoreo de regresiones.
6. Lecciones (Post-Incident): post-mortem ≤72 h, plan CAPA, actualización de políticas/umbrales/modelos.

5) Notificaciones legales y comunicaciones externas

• Supervisión de datos (DPA): filtración PII confirmada → notificación (descripción del incidente, categorías de datos, medidas, contacto DPO).
• Regulador del juego: violaciones masivas de RG/reglas de publicidad/fallas que afectan a los jugadores/informes.
• Bancos/PSP: actividad sospechosa/casos de SAR, chargebacks masivos, comprometer el flujo de pago.
• Usuarios: filtración de sus datos/alto riesgo de daño; plantillas de correo electrónico y preguntas frecuentes.
• Socios/vendedores: incidentes que tienen o tenemos que afectan a los flujos/datos comunes.

Reglas de Comm: altavoz único, hechos sin conjeturas, acciones/recomendaciones claras, almacenar todas las versiones de mensajes y respuestas.

6) Forenzika y «cadena de custodia de pruebas» (Cadena de Custodia)

Fijar quién/cuándo/qué recogió; utilizar almacenamiento WORM/inmutable.
Instantáneas de volúmenes/registros, exportación de artefactos a través del hashing (SHA-256).
Accesos de sólo lectura, trabajo a través de duplicados.
Documentar todos los comandos/pasos; almacenar la línea de tiempo.
Acordar con Legal/DPO las condiciones para la transferencia de artefactos a terceros.

7) Comunicaciones controladas (internas/externas)

Do: concisa, fácticamente, acordada con IC/Legal; indíquese a continuación la ranura de actualización (por ejemplo, cada 60 min).
Don 't: hipótesis como hechos, revelación de PII, acusaciones, promesas de plazos sin control.

• ¿Qué ha pasado ?/Seriedad/Área de influencia/Medidas adoptadas/Próximos pasos/Próximo apdate en...

8) Tipo de dominio playbook 'y

A) Fuga PII (anexo/fondo/vendedor)

1. Bridge ≤15 min → congelar los puntos de venta/claves sospechosos → habilitar una auditoría de acceso a datos mejorada.
2. Forensica: determinar la fuente/volumen/tipos de PII, línea de tiempo.
3. Acciones: rotación de secretos, farsa, revisión de derechos, aislamiento del vendedor.
4. Notificaciones: DPA/regulador/usuarios/socios (según requisitos).
5. Soporte para jugadores: preguntas frecuentes, canal de soporte, recomendaciones (cambio de contraseña/fraude).
6. Post mortem y CAPA.

B) Compromiso de cuentas de jugadores (ATO/credential stuffing)

1. Spike en las señales ATO → amplificar la tasa de limit/2FA-enforce/WebAuthn, unidades de salida de tiempo.
2. Agrupar dispositivos/IP, enviar notificaciones a los afectados, restablecer tokens.
3. Verificación de las transacciones financieras, SAR si es necesario.

C) Fallo del proveedor de CUS/sanciones

1. Cambiar a un proveedor fallback, limitar los pines rápidos, flujo manual para VIP.
2. Comm para sapport y gestores VIP; cuando se aprieta - informar al regulador/bancos (si afecta a las auditorías).

D) PSP/incidente de pago (chargebacks/compromiso)

1. Habilitar la 3DS/AVS estricta, reducir los límites y las reglas de velocidad; grupos de riesgo de la colina.
2. Informar a PSP/Banco; con indicios de blanqueo - EDD/SAR.
3. Restaurar y auditar el tráfico rechazado.

E) DDoS/inaccesibilidad

1. Activar WAF/geo-corte/depuración; «helada» de lanzamientos.
2. Inclusión canaria de regiones, control de OSP; un post mortem de sostenibilidad.

9) Herramientas y artefactos

SIEM/SOAR, IDS/IPS, WAF, EDR, DLP, gestor de secretos, rotaciones vault, detección de anomalías en el antifraude, registro de incidentes, plantillas de notificación.
Artefactos: registro de incidentes, protocolo bridge (línea de tiempo), informe forensic, paquete de notificaciones (regulador/usuarios/bancos), post mortem, rastreador CAPA.

10) Métricas y puntos de referencia de objetivos

MTTD (tiempo antes de la detección), MTTC (antes de la contención), MTTR (antes de la recuperación).
% de los incidentes con causa raíz establecida ≥ 90%.
% de ejecución de CAPA a tiempo ≥ 95%.
La proporción de incidentes repetidos por el mismo motivo ≤ del 5%.
Porcentaje de incidentes cerrados en SLA: Medio ≥ 90%, Alto ≥ 95%, Crítico ≥ 99%.

11) RACI (ampliado)

Incident Commander (Ops/Sec): A por gestión, toma de decisiones, timeline.
Seguridad Lead (R): tech. análisis, forenzika, containment/eradication.
Compliance/DPO (R/A por legalidad): calificación de fugas, notificaciones, hoja de correo.
Legal (C): evaluación jurídica, contratos/contratos, redacción de cartas.
SRE/Ingeniería (R): fixes, retrocesos, estabilidad.
Payments/FRM (R): colinas, umbral antifraude, interacción con PSP/bancos.
PR/Comms (R): mensajes externos, Q&A para sapport.
Support/VIP (I/C): frente de comunicaciones con los jugadores.

12) Plantillas (conjunto mínimo)

12. 1 Tarjeta de incidente (registro)

ID· Tiempo de detección· Clase/gravedad· Afectado (sistemas/datos/jurisdicciones)· IC· Propietario de los mismos· Primeras medidas· Alcance/valoración de daños· Avisos (coma/cuándo)· Referencias a artefactos· Estado/SARA/Plazos.

12. 2 Notificación a los usuarios (apretón)

Qué pasó; qué datos podrían haberse visto afectados; lo que hicimos; lo que le recomendamos; contactos; referencia a la política/preguntas frecuentes.

12. 3 Post-mortem (estructura)

Hechos/línea de tiempo· Impacto· Causa de origen (5 Whys)· Lo que funcionó/no funcionó· CAPA (propietario/deadline)· Verificación de eficacia a través de N semanas.

13) Integración con operaciones y cumplimiento

AMB/Cambio: cambios peligrosos - sólo a través de banderas de ficha/Canarias; en cada lanzamiento, un plan de reversión.
Datos e informes: montaje automático de los dashboards de incidentes; enlace con KRIs (sanciones/RER, KYC, CBR, ATO).
Riesgos: actualización de la matriz de riesgo y el registro, calibración de los umbrales después de cada incidente mayor.

14) Enseñanzas y preparación

Tabletop una vez al trimestre (fuga PII, fallo KYC, onda ATO, incidente PSP).
Verificación Red/Blue/Purple-team; ejercicios conjuntos con vendedores y PSP.
KPI de preparación: porcentaje de empleados que han recibido capacitación; el éxito de las enseñanzas; tiempo promedio de «levantamiento del puente».

15) Hoja de ruta para la implementación

1-2 semanas: actualización de roles/contactos, plantillas, proveedores de respaldo.
3-4 semanas: SOAR playbooks, canales de bridge, notificaciones de prueba, archivo WORM.
Mes 2 +: ejercicios regulares, auditoría de registros, automatización de informes de incidentes.

TL; DR

Preparación = funciones y umbrales preconcebidos + puente rápido + contenido duro + notificaciones legales y oportunas + forensic con cadena de evidencia + post-mortem obligatorio y CAPA. Esto minimiza los daños, reduce los riesgos de penalización y fortalece la confianza de los jugadores y socios.