Validación, determinación del alcance y evaluación del impacto de la alerta
Durante la fase de análisis, se realiza un análisis exhaustivo del registro con el objetivo de validar las alertas, definir su alcance y evaluar el impacto de la posible interrupción.
-
La validación de la alerta es el punto de partida de la fase de análisis. Los encargados de responder a los incidentes buscarán entradas de registro procedentes de diversos orígenes y se pondrán en contacto directamente con los responsables de la carga de trabajo afectada.
-
El siguiente paso es determinar el alcance, cuando se haría un inventario de todos los recursos involucrados y se ajustaría el nivel de gravedad de las alertas una vez que las partes interesadas están de acuerdo en que es poco probable que se trate de un falso positivo.
-
Por último, en el análisis de impacto se detalla la verdadera interrupción para la empresa.
Una vez identificados los componentes de la carga de trabajo afectados, los resultados del análisis del alcance se pueden correlacionar con el objetivo de punto de recuperación (RPO) y el objetivo de tiempo de recuperación (RTO) de la carga de trabajo correspondiente, ajustándose al nivel de gravedad de la alerta, lo que iniciará la asignación de recursos y toda la actividad que tendrá lugar a continuación. No todos los incidentes interrumpirán directamente las operaciones de una carga de trabajo que respalda un proceso empresarial. Es posible que incidentes como la divulgación de información confidencial, el robo de propiedad intelectual o el secuestro de recursos (como en el caso de la minería de criptomonedas) no detengan ni debiliten un proceso empresarial de forma inmediata, pero pueden tener consecuencias en el futuro.
