TLP:CLEAR · Versión 0.1
Los miembros de TXDX-CSIRT tienen acceso, durante el ejercicio de sus funciones, a sistemas, redes, fuentes de información, evidencias y datos que pueden ser sensibles o críticos. Estas capacidades implican una responsabilidad especial frente a la constituency del equipo, los clientes de TXDXSecure, otros profesionales de la seguridad, terceros afectados y la sociedad en general. Cada miembro reconoce además su responsabilidad respecto de su propio bienestar y del bienestar de sus compañeros de equipo.
Este Código se ha concebido para inspirar y guiar la conducta ética y profesional de todos los integrantes de TXDX-CSIRT. Adopta como base los principios de EthicsfIRST, el Código ético y de conducta profesional de FIRST, y los aplica al contexto operativo de TXDXSecure. Sus principios se expresan como deberes de responsabilidad orientados a preservar la confianza, reducir daños y favorecer una respuesta a incidentes técnicamente rigurosa y responsable.
Los deberes que siguen no están ordenados por importancia. Deben interpretarse con criterio profesional y atendiendo a las circunstancias de cada incidente. Cuando un principio utilice la expresión “DEBERÍA”, se entenderá en el sentido de RFC 2119: pueden existir circunstancias válidas para apartarse de una recomendación, pero sus implicaciones deben evaluarse cuidadosamente antes de adoptar una alternativa.
“En determinadas circunstancias pueden existir motivos válidos para apartarse de una recomendación concreta; antes de hacerlo, deben comprenderse sus consecuencias y ponderarse cuidadosamente las alternativas.”
Para el tratamiento de situaciones en las que varios principios entren en tensión, véase el Apéndice A.
Deber de confianza
La confianza es la base de la cooperación efectiva entre TXDX-CSIRT, su constituency, sus clientes, otros equipos de respuesta y las organizaciones con las que se intercambia información. Sin un nivel razonable de confianza, la coordinación de incidentes y el intercambio de información pierden eficacia.
Los miembros de TXDX-CSIRT deben asumir únicamente compromisos que puedan cumplir, actuar de forma previsible y profesional, respetar las restricciones de manejo de información -incluido TLP cuando sea aplicable- y proteger las relaciones de confianza establecidas con otros equipos y partes interesadas.
Cuando una relación de confianza aún no esté establecida, TXDX-CSIRT deberá aplicar mecanismos razonables de verificación de identidad y autenticidad. La confianza inicial no elimina la obligación de validar la legitimidad de solicitudes, contactos, claves, dominios, evidencias o instrucciones cuando la sensibilidad del caso lo requiera.
Deber de revelación de vulnerabilidad coordinada
Cuando un miembro de TXDX-CSIRT conozca una vulnerabilidad relevante, deberá favorecer una divulgación coordinada que permita a las partes interesadas reducir el riesgo antes de hacer públicos detalles que puedan facilitar su explotación. La coordinación podrá involucrar al informante, fabricante o proveedor afectado, coordinadores, defensores, clientes, socios y usuarios.
TXDX-CSIRT debería establecer con las partes pertinentes plazos y expectativas claras de comunicación, proporcionando información suficiente para que los afectados evalúen el riesgo y adopten medidas defensivas viables, sin divulgar de manera prematura detalles cuya publicación incremente el riesgo.
Deber de confidencialidad
Los miembros de TXDX-CSIRT tienen el deber de preservar la confidencialidad cuando corresponda. Las restricciones pueden comunicarse de forma expresa mediante TLP, acuerdos contractuales, instrucciones del propietario de la información, clasificación interna u otros mecanismos establecidos.
Cuando una solicitud de confidencialidad entre en conflicto con una obligación legal, regulatoria, contractual o de reporte, el conflicto deberá escalarse por los canales de gobierno correspondientes y, cuando sea posible, comunicarse oportunamente al propietario de la información. La información sensible sólo deberá compartirse con destinatarios legitimados y bajo el principio de necesidad de conocer.
Deber de acuse de recibo
TXDX-CSIRT recibe información de investigadores, clientes, usuarios, proveedores, otros CSIRT/CERT, organizaciones públicas y privadas y otras fuentes. Sus miembros deben responder de manera oportuna a los reportes y consultas, aunque inicialmente sólo sea para confirmar su recepción y proporcionar un identificador o una expectativa razonable sobre la siguiente actualización.
Deber de autorización
Los miembros de TXDX-CSIRT deben conocer el alcance de su autoridad y actuar únicamente sobre sistemas, cuentas, información y recursos para los cuales exista autorización suficiente. Deben considerar el posible impacto de sus acciones y evitar introducir daños adicionales durante la investigación, contención, erradicación o recuperación.
Siempre que sea posible, las consecuencias de acciones potencialmente disruptivas deben explicarse a los responsables afectados antes de su ejecución. Cuando se requieran cambios sobre infraestructura de clientes o terceros, TXDX-CSIRT deberá respetar el alcance contractual, los procedimientos de emergencia y las autorizaciones aplicables.
Deber de informar
Los miembros de TXDX-CSIRT deben mantener informada a su constituency y a las partes pertinentes sobre amenazas, riesgos e incidentes que puedan afectarles, en la medida necesaria para facilitar decisiones y acciones defensivas. Esta obligación debe equilibrarse con la confidencialidad, la privacidad, las restricciones contractuales y cualquier otra obligación aplicable.
Deber de respetar los derechos humanos
Las actividades de respuesta a incidentes pueden afectar derechos de las personas, especialmente cuando implican recopilación, análisis o intercambio de información personal, sensible o confidencial. Los miembros de TXDX-CSIRT deberán realizar estas actividades respetando la dignidad, privacidad, propiedad, igualdad de trato y demás derechos reconocidos por la legislación aplicable.
Durante la gestión de incidentes, el equipo debe procurar reducir sesgos en sus procesos y decisiones. Las conclusiones sobre personas, organizaciones o supuestos responsables no deben basarse en estereotipos, rumores ni inferencias sin respaldo técnico suficiente.
Deber respecto de la salud del Equipo
TXDX-CSIRT tiene la responsabilidad de mantener una capacidad sostenible para prestar los servicios comprometidos. Esa capacidad depende también de la salud física y emocional de sus miembros. La organización debe procurar un entorno de trabajo seguro, respetuoso y sostenible, especialmente durante incidentes de alta presión o larga duración.
La planificación de guardias, relevos, descansos y escalamiento debe reducir la dependencia excesiva de una sola persona y evitar que la continuidad del servicio se base en cargas de trabajo incompatibles con la salud del equipo.
Deber respecto de la capacidad del Equipo
La gestión de incidentes evoluciona constantemente. TXDX-CSIRT debe proporcionar a sus miembros oportunidades y recursos razonables para mantener y desarrollar competencias técnicas, analíticas y de coordinación acordes con sus responsabilidades.
La formación, ejercicios, certificaciones, intercambio con otros equipos y aprendizaje derivado de incidentes deben contribuir a mejorar la capacidad real del TXDX-CSIRT. El equipo deberá mantener asimismo infraestructura, herramientas, documentación y controles de seguridad suficientes para prestar sus servicios sin exponer innecesariamente la información o los sistemas bajo su custodia.
Deber de recopilación responsable
La recopilación de datos puede ser necesaria para confirmar, investigar y resolver un incidente, pero debe mantenerse un equilibrio entre la finalidad de la respuesta y el respeto a la información de las partes interesadas. TXDX-CSIRT deberá recopilar sólo la información razonablemente necesaria para el objetivo técnico, operativo, contractual o legal del caso.
A medida que evolucione la investigación, el equipo deberá reevaluar qué datos siguen siendo necesarios. Los datos que no resulten pertinentes para comprender o resolver el incidente deben evitarse o excluirse de los informes, salvo que exista una razón legítima y documentada para conservarlos.
La recopilación, almacenamiento, procesamiento y transferencia de datos deberá realizarse de acuerdo con la legislación aplicable, las obligaciones contractuales y las políticas de TXDXSecure. Cuando la información se encuentre bajo control de un tercero, deberán respetarse las autorizaciones y condiciones aplicables antes de su recopilación o procesamiento.
La información que pueda ayudar legítimamente a otros equipos a prevenir o responder a incidentes podrá compartirse cuando exista base suficiente para hacerlo, utilizando anonimización, redacción, TLP u otras salvaguardas cuando corresponda. La información confidencial o propietaria sólo deberá compartirse con las protecciones adecuadas.
Antes de compartir datos con terceros, TXDX-CSIRT debe evaluar el beneficio esperado frente a los riesgos de divulgación. Los datos sensibles deben almacenarse de forma segura durante el tiempo que sea necesario y eliminarse o destruirse de acuerdo con las políticas de retención, obligaciones legales y requisitos contractuales aplicables.
Deber de reconocimiento de los límites jurisdiccionales
Los miembros de TXDX-CSIRT deben reconocer y respetar los límites jurisdiccionales, derechos legales, normas y autoridades de las partes involucradas en la respuesta a incidentes. La autoridad técnica o contractual del equipo no debe interpretarse como autoridad legal fuera de su ámbito aplicable.
Las obligaciones en materia de privacidad, protección de datos, notificación de incidentes, preservación de evidencia, cooperación con autoridades y transferencia de información pueden variar según el país, sector, cliente o naturaleza de los datos involucrados. Cuando un incidente afecte varias jurisdicciones, TXDX-CSIRT deberá identificar oportunamente estas dependencias y escalarlas a las funciones legales o de gobierno correspondientes.
Cuando existan dudas relevantes sobre la legitimidad de una acción, la transferencia transfronteriza de datos, una obligación de notificación o la autoridad para actuar, los miembros deben obtener orientación de los responsables legales o de gobierno antes de proceder, salvo que exista un procedimiento de emergencia previamente autorizado que cubra la situación.
Deber de razonamiento basado en pruebas
TXDX-CSIRT debe desarrollar su actividad sobre la base de hechos verificables. Al compartir indicadores de compromiso, descripciones de incidentes, atribuciones técnicas o recomendaciones, sus miembros deberán distinguir claramente entre hechos confirmados, hipótesis, inferencias y elementos todavía no verificados.
Siempre que sea posible, las conclusiones deberán poder relacionarse con evidencias, fuentes, registros, observaciones o métodos de análisis reproducibles. Si por razones de confidencialidad, seguridad o restricciones contractuales no puede compartirse la evidencia completa, deberá indicarse la limitación con suficiente claridad para que el receptor comprenda el nivel de confianza de la información.
Los miembros de TXDX-CSIRT deben abstenerse de presentar rumores como hechos. Las hipótesis deberán etiquetarse como tales y revisarse cuando aparezcan nuevas evidencias. Esta obligación también se aplica al intercambio automatizado de información: cuando un proceso produzca indicadores, clasificaciones o conclusiones de forma automática, deberá existir documentación suficiente para comprender su origen y las limitaciones del método.
Apéndice A
Lidiar con los dilemas
Los miembros de TXDX-CSIRT pueden encontrarse en situaciones en las que ninguna alternativa satisfaga plenamente todos los principios de este Código. En esos casos deberán identificar los principios en tensión, las partes interesadas, el daño potencial y las obligaciones legales, contractuales y operativas aplicables.
Siempre que sea posible, el dilema debería discutirse con otro miembro del equipo o con el responsable de gobierno correspondiente antes de actuar. Como regla general, deberá preferirse la alternativa que preserve mejor la seguridad, la legalidad, la confianza y los derechos de las partes, y que produzca el menor daño razonablemente previsible.
Cuando una decisión excepcional obligue a apartarse de uno de estos principios, la razón deberá documentarse de forma proporcional a la criticidad del caso y escalarse cuando corresponda. Ningún miembro deberá ocultar deliberadamente un dilema ético material ni utilizar este Código para justificar una actuación fuera de su autoridad.