Escenario 08 / 10 · NIST SP 800-61 REV. 3

Portátil de campo perdido

Un ingeniero informa de un portátil de campo perdido; el inventario indica cifrado, pero la última comprobación es antigua.

Escenario ficticio para estudiar; no describe personas ni sistemas reales.

Límite de seguridad y autoridad

No declare una fuga ni cifrado seguro sin pruebas; limite la recogida de datos personales del ingeniero.

01 / 05

Preparación

GV · ID · PR

Un ingeniero informa de un portátil de campo perdido; el inventario indica cifrado, pero la última comprobación es antigua.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Vale Equipo de evidencias	Preparó la ruta de evidencia	Nombró fuentes de solo lectura y responsables para: La gestión muestra la última conexión hace dos días y una cuenta de servicio en caché cuyo alcance es incierto.	La primera alerta necesita origen y hora verificables.
Willow Equipo de servicio	Ensayó la continuidad segura	Probó de forma aislada una versión de: Entregue un dispositivo gestionado de sustitución con credenciales limitadas y restaure las herramientas de campo aprobadas.	Una recuperación precipitada puede agravar el impacto.
Xenon Equipo de decisiones	Definió autoridad y escalamiento	Asignó responsables y condiciones de aprobación para: No declare una fuga ni cifrado seguro sin pruebas; limite la recogida de datos personales del ingeniero.	Seguridad, privacidad y comunicación requieren decisiones responsables.

02 / 05

Detección y análisis

La gestión muestra la última conexión hace dos días y una cuenta de servicio en caché cuyo alcance es incierto.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Vale Equipo de evidencias	Evaluó la señal	Conservó origen, hora UTC y comprobación independiente de: La gestión muestra la última conexión hace dos días y una cuenta de servicio en caché cuyo alcance es incierto.	Una alerta es una pista, no prueba de causa o alcance.
Willow Equipo de servicio	Midió el impacto en usuarios	Comparó el servicio real con la línea base: Un ingeniero informa de un portátil de campo perdido; el inventario indica cifrado, pero la última comprobación es antigua.	Las alertas técnicas solas no demuestran impacto operativo.
Xenon Equipo de decisiones	Abrió un caso delimitado	Registró hechos confirmados, incógnitas, responsable y próxima revisión.	Los equipos se coordinan sin exagerar la evidencia.

03 / 05

Respuesta y contención

No declare una fuga ni cifrado seguro sin pruebas; limite la recogida de datos personales del ingeniero.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Vale Equipo de evidencias	Conservó y delimitó evidencia	Guardó los registros originales y definió una ruta limitada para: Revoque la credencial en caché, verifique la prueba de cifrado y conserve registros de gestión y acceso.	La contención no debe destruir la base de la revisión posterior.
Willow Equipo de servicio	Aplicó el control aprobado	Ejecutó: Revoque la credencial en caché, verifique la prueba de cifrado y conserve registros de gestión y acceso.	Un cambio reversible y aprobado reduce daños sin ampliar el alcance.
Xenon Equipo de decisiones	Autorizó y comunicó	Registró aprobador, personas afectadas y límite: No declare una fuga ni cifrado seguro sin pruebas; limite la recogida de datos personales del ingeniero.	Las acciones exigen autoridad clara y aviso proporcional.

04 / 05

Recuperación

Entregue un dispositivo gestionado de sustitución con credenciales limitadas y restaure las herramientas de campo aprobadas.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Vale Equipo de evidencias	Comprobó la persistencia	Comparó nueva telemetría con: La credencial antigua falla, el sustituto está gestionado y cifrado y la evaluación de datos registra incertidumbres.	Un servicio aparentemente sano todavía puede estar comprometido.
Willow Equipo de servicio	Restauró por etapas	Ejecutó: Entregue un dispositivo gestionado de sustitución con credenciales limitadas y restaure las herramientas de campo aprobadas.	El retorno gradual prueba dependencias antes de ampliar el acceso.
Xenon Equipo de decisiones	Aceptó el resultado operativo	Pidió aprobación del responsable solo después de: La credencial antigua falla, el sustituto está gestionado y cifrado y la evaluación de datos registra incertidumbres.	Recuperar es una decisión de servicio, no solo un panel verde.

05 / 05

Mejora

ID.IM

Exija pruebas recientes de cifrado, acceso sin conexión mínimo y notificación rápida de pérdidas.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Vale Equipo de evidencias	Convirtió incertidumbre en prueba	Documentó la laguna de evidencia y propuso: Exija pruebas recientes de cifrado, acceso sin conexión mínimo y notificación rápida de pérdidas.	Una lección requiere una comprobación futura medible.
Willow Equipo de servicio	Ensayó el control modificado	Asignó responsable y fecha para probar: Exija pruebas recientes de cifrado, acceso sin conexión mínimo y notificación rápida de pérdidas.	Una tarea no probada no es una mejora verificada.
Xenon Equipo de decisiones	Cerró el registro de decisiones	Aprobó recursos, siguió al responsable y comprobó el nuevo control.	El aprendizaje debe alimentar Gobernar, Identificar y Proteger.

Criterio de aceptación de la recuperación

La credencial antigua falla, el sustituto está gestionado y cifrado y la evaluación de datos registra incertidumbres.

Mejora que debe verificarse

Exija pruebas recientes de cifrado, acceso sin conexión mínimo y notificación rápida de pérdidas.