Escenario 03 / 10 · NIST SP 800-61 REV. 3

Exposición de credencial en la nube

Un token de despliegue aparece en un commit público y puede autorizar cambios en un proyecto de nube de producción.

Escenario ficticio para estudiar; no describe personas ni sistemas reales.

Límite de seguridad y autoridad

Trate el token como expuesto; conserve los registros antes de rotarlo y no copie el secreto en incidencias o mensajes.

01 / 05

Preparación

GV · ID · PR

Un token de despliegue aparece en un commit público y puede autorizar cambios en un proyecto de nube de producción.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Granite Equipo de evidencias	Preparó la ruta de evidencia	Nombró fuentes de solo lectura y responsables para: Los registros de auditoría de la nube muestran un uso desconocido del token tras la publicación, pero la lista de recursos afectados está incompleta.	La primera alerta necesita origen y hora verificables.
Harbor Equipo de servicio	Ensayó la continuidad segura	Probó de forma aislada una versión de: Emita credenciales de mínimo privilegio desde un almacén protegido y vuelva a desplegar artefactos verificados.	Una recuperación precipitada puede agravar el impacto.
Iris Equipo de decisiones	Definió autoridad y escalamiento	Asignó responsables y condiciones de aprobación para: Trate el token como expuesto; conserve los registros antes de rotarlo y no copie el secreto en incidencias o mensajes.	Seguridad, privacidad y comunicación requieren decisiones responsables.

02 / 05

Detección y análisis

Los registros de auditoría de la nube muestran un uso desconocido del token tras la publicación, pero la lista de recursos afectados está incompleta.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Granite Equipo de evidencias	Evaluó la señal	Conservó origen, hora UTC y comprobación independiente de: Los registros de auditoría de la nube muestran un uso desconocido del token tras la publicación, pero la lista de recursos afectados está incompleta.	Una alerta es una pista, no prueba de causa o alcance.
Harbor Equipo de servicio	Midió el impacto en usuarios	Comparó el servicio real con la línea base: Un token de despliegue aparece en un commit público y puede autorizar cambios en un proyecto de nube de producción.	Las alertas técnicas solas no demuestran impacto operativo.
Iris Equipo de decisiones	Abrió un caso delimitado	Registró hechos confirmados, incógnitas, responsable y próxima revisión.	Los equipos se coordinan sin exagerar la evidencia.

03 / 05

Respuesta y contención

Trate el token como expuesto; conserve los registros antes de rotarlo y no copie el secreto en incidencias o mensajes.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Granite Equipo de evidencias	Conservó y delimitó evidencia	Guardó los registros originales y definió una ruta limitada para: Desactive o rote el token, examine su uso por hora y recurso y delimite despliegues afectados con aprobación del responsable.	La contención no debe destruir la base de la revisión posterior.
Harbor Equipo de servicio	Aplicó el control aprobado	Ejecutó: Desactive o rote el token, examine su uso por hora y recurso y delimite despliegues afectados con aprobación del responsable.	Un cambio reversible y aprobado reduce daños sin ampliar el alcance.
Iris Equipo de decisiones	Autorizó y comunicó	Registró aprobador, personas afectadas y límite: Trate el token como expuesto; conserve los registros antes de rotarlo y no copie el secreto en incidencias o mensajes.	Las acciones exigen autoridad clara y aviso proporcional.

04 / 05

Recuperación

Emita credenciales de mínimo privilegio desde un almacén protegido y vuelva a desplegar artefactos verificados.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Granite Equipo de evidencias	Comprobó la persistencia	Comparó nueva telemetría con: El token antiguo se rechaza, las cargas aprobadas funcionan y la auditoría no encuentra cambios sin explicación.	Un servicio aparentemente sano todavía puede estar comprometido.
Harbor Equipo de servicio	Restauró por etapas	Ejecutó: Emita credenciales de mínimo privilegio desde un almacén protegido y vuelva a desplegar artefactos verificados.	El retorno gradual prueba dependencias antes de ampliar el acceso.
Iris Equipo de decisiones	Aceptó el resultado operativo	Pidió aprobación del responsable solo después de: El token antiguo se rechaza, las cargas aprobadas funcionan y la auditoría no encuentra cambios sin explicación.	Recuperar es una decisión de servicio, no solo un panel verde.

05 / 05

Mejora

ID.IM

Pase la autenticación del despliegue a identidades breves y limitadas y pruebe la detección de secretos.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Granite Equipo de evidencias	Convirtió incertidumbre en prueba	Documentó la laguna de evidencia y propuso: Pase la autenticación del despliegue a identidades breves y limitadas y pruebe la detección de secretos.	Una lección requiere una comprobación futura medible.
Harbor Equipo de servicio	Ensayó el control modificado	Asignó responsable y fecha para probar: Pase la autenticación del despliegue a identidades breves y limitadas y pruebe la detección de secretos.	Una tarea no probada no es una mejora verificada.
Iris Equipo de decisiones	Cerró el registro de decisiones	Aprobó recursos, siguió al responsable y comprobó el nuevo control.	El aprendizaje debe alimentar Gobernar, Identificar y Proteger.

Criterio de aceptación de la recuperación

El token antiguo se rechaza, las cargas aprobadas funcionan y la auditoría no encuentra cambios sin explicación.

Mejora que debe verificarse

Pase la autenticación del despliegue a identidades breves y limitadas y pruebe la detección de secretos.