Escenario 05 / 10 · NIST SP 800-61 REV. 3

Exportación sospechosa de datos

Una cuenta de empleado exporta un gran conjunto de datos de clientes fuera de su horario habitual; el titular dice que la tarea puede estar autorizada.

Escenario ficticio para estudiar; no describe personas ni sistemas reales.

Límite de seguridad y autoridad

Respete la privacidad y el debido proceso laboral; el nombre de la cuenta no prueba la intención de una persona.

01 / 05

Preparación

GV · ID · PR

Una cuenta de empleado exporta un gran conjunto de datos de clientes fuera de su horario habitual; el titular dice que la tarea puede estar autorizada.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Maple Equipo de evidencias	Preparó la ruta de evidencia	Nombró fuentes de solo lectura y responsables para: Los registros muestran la tarea de exportación y el destino, pero no quién la inició ni si el destinatario descargó los datos.	La primera alerta necesita origen y hora verificables.
Nimbus Equipo de servicio	Ensayó la continuidad segura	Probó de forma aislada una versión de: Restaure los informes autorizados con un conjunto de datos limitado tras confirmar finalidad, destino y permisos.	Una recuperación precipitada puede agravar el impacto.
Orion Equipo de decisiones	Definió autoridad y escalamiento	Asignó responsables y condiciones de aprobación para: Respete la privacidad y el debido proceso laboral; el nombre de la cuenta no prueba la intención de una persona.	Seguridad, privacidad y comunicación requieren decisiones responsables.

02 / 05

Detección y análisis

Los registros muestran la tarea de exportación y el destino, pero no quién la inició ni si el destinatario descargó los datos.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Maple Equipo de evidencias	Evaluó la señal	Conservó origen, hora UTC y comprobación independiente de: Los registros muestran la tarea de exportación y el destino, pero no quién la inició ni si el destinatario descargó los datos.	Una alerta es una pista, no prueba de causa o alcance.
Nimbus Equipo de servicio	Midió el impacto en usuarios	Comparó el servicio real con la línea base: Una cuenta de empleado exporta un gran conjunto de datos de clientes fuera de su horario habitual; el titular dice que la tarea puede estar autorizada.	Las alertas técnicas solas no demuestran impacto operativo.
Orion Equipo de decisiones	Abrió un caso delimitado	Registró hechos confirmados, incógnitas, responsable y próxima revisión.	Los equipos se coordinan sin exagerar la evidencia.

03 / 05

Respuesta y contención

Respete la privacidad y el debido proceso laboral; el nombre de la cuenta no prueba la intención de una persona.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Maple Equipo de evidencias	Conservó y delimitó evidencia	Guardó los registros originales y definió una ruta limitada para: Pause la exportación programada con aprobación del responsable de datos y conserve solo los registros necesarios.	La contención no debe destruir la base de la revisión posterior.
Nimbus Equipo de servicio	Aplicó el control aprobado	Ejecutó: Pause la exportación programada con aprobación del responsable de datos y conserve solo los registros necesarios.	Un cambio reversible y aprobado reduce daños sin ampliar el alcance.
Orion Equipo de decisiones	Autorizó y comunicó	Registró aprobador, personas afectadas y límite: Respete la privacidad y el debido proceso laboral; el nombre de la cuenta no prueba la intención de una persona.	Las acciones exigen autoridad clara y aviso proporcional.

04 / 05

Recuperación

Restaure los informes autorizados con un conjunto de datos limitado tras confirmar finalidad, destino y permisos.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Maple Equipo de evidencias	Comprobó la persistencia	Comparó nueva telemetría con: El responsable confirma la extracción permitida; los registros no muestran nuevas exportaciones no autorizadas y la revisión de acceso termina.	Un servicio aparentemente sano todavía puede estar comprometido.
Nimbus Equipo de servicio	Restauró por etapas	Ejecutó: Restaure los informes autorizados con un conjunto de datos limitado tras confirmar finalidad, destino y permisos.	El retorno gradual prueba dependencias antes de ampliar el acceso.
Orion Equipo de decisiones	Aceptó el resultado operativo	Pidió aprobación del responsable solo después de: El responsable confirma la extracción permitida; los registros no muestran nuevas exportaciones no autorizadas y la revisión de acceso termina.	Recuperar es una decisión de servicio, no solo un panel verde.

05 / 05

Mejora

ID.IM

Registre aprobaciones de exportación, campos mínimos, retención y revisión independiente de privacidad.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Maple Equipo de evidencias	Convirtió incertidumbre en prueba	Documentó la laguna de evidencia y propuso: Registre aprobaciones de exportación, campos mínimos, retención y revisión independiente de privacidad.	Una lección requiere una comprobación futura medible.
Nimbus Equipo de servicio	Ensayó el control modificado	Asignó responsable y fecha para probar: Registre aprobaciones de exportación, campos mínimos, retención y revisión independiente de privacidad.	Una tarea no probada no es una mejora verificada.
Orion Equipo de decisiones	Cerró el registro de decisiones	Aprobó recursos, siguió al responsable y comprobó el nuevo control.	El aprendizaje debe alimentar Gobernar, Identificar y Proteger.

Criterio de aceptación de la recuperación

El responsable confirma la extracción permitida; los registros no muestran nuevas exportaciones no autorizadas y la revisión de acceso termina.

Mejora que debe verificarse

Registre aprobaciones de exportación, campos mínimos, retención y revisión independiente de privacidad.