Escenario 09 / 10 · NIST SP 800-61 REV. 3

Compromiso de aplicación web

Un portal de clientes empieza a devolver errores de base de datos inesperados tras un cambio no revisado en el buscador.

Escenario ficticio para estudiar; no describe personas ni sistemas reales.

Límite de seguridad y autoridad

No explote la falla en producción para confirmarla; conserve trazas de consulta e involucre al responsable de datos antes de afirmar impacto.

01 / 05

Preparación

GV · ID · PR

Un portal de clientes empieza a devolver errores de base de datos inesperados tras un cambio no revisado en el buscador.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Yarrow Equipo de evidencias	Preparó la ruta de evidencia	Nombró fuentes de solo lectura y responsables para: Los registros de aplicación y base de datos muestran consultas malformadas y lecturas anómalas, pero se desconoce el número de registros afectados.	La primera alerta necesita origen y hora verificables.
Zenith Equipo de servicio	Ensayó la continuidad segura	Probó de forma aislada una versión de: Despliegue una corrección revisada de consultas y un rol de mínimo privilegio; ejecute pruebas funcionales delimitadas.	Una recuperación precipitada puede agravar el impacto.
Amber Equipo de decisiones	Definió autoridad y escalamiento	Asignó responsables y condiciones de aprobación para: No explote la falla en producción para confirmarla; conserve trazas de consulta e involucre al responsable de datos antes de afirmar impacto.	Seguridad, privacidad y comunicación requieren decisiones responsables.

02 / 05

Detección y análisis

Los registros de aplicación y base de datos muestran consultas malformadas y lecturas anómalas, pero se desconoce el número de registros afectados.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Yarrow Equipo de evidencias	Evaluó la señal	Conservó origen, hora UTC y comprobación independiente de: Los registros de aplicación y base de datos muestran consultas malformadas y lecturas anómalas, pero se desconoce el número de registros afectados.	Una alerta es una pista, no prueba de causa o alcance.
Zenith Equipo de servicio	Midió el impacto en usuarios	Comparó el servicio real con la línea base: Un portal de clientes empieza a devolver errores de base de datos inesperados tras un cambio no revisado en el buscador.	Las alertas técnicas solas no demuestran impacto operativo.
Amber Equipo de decisiones	Abrió un caso delimitado	Registró hechos confirmados, incógnitas, responsable y próxima revisión.	Los equipos se coordinan sin exagerar la evidencia.

03 / 05

Respuesta y contención

No explote la falla en producción para confirmarla; conserve trazas de consulta e involucre al responsable de datos antes de afirmar impacto.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Yarrow Equipo de evidencias	Conservó y delimitó evidencia	Guardó los registros originales y definió una ruta limitada para: Desactive la búsqueda afectada mediante un interruptor aprobado, conserve evidencia y revise permisos de la base de datos.	La contención no debe destruir la base de la revisión posterior.
Zenith Equipo de servicio	Aplicó el control aprobado	Ejecutó: Desactive la búsqueda afectada mediante un interruptor aprobado, conserve evidencia y revise permisos de la base de datos.	Un cambio reversible y aprobado reduce daños sin ampliar el alcance.
Amber Equipo de decisiones	Autorizó y comunicó	Registró aprobador, personas afectadas y límite: No explote la falla en producción para confirmarla; conserve trazas de consulta e involucre al responsable de datos antes de afirmar impacto.	Las acciones exigen autoridad clara y aviso proporcional.

04 / 05

Recuperación

Despliegue una corrección revisada de consultas y un rol de mínimo privilegio; ejecute pruebas funcionales delimitadas.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Yarrow Equipo de evidencias	Comprobó la persistencia	Comparó nueva telemetría con: Las búsquedas normales funcionan, se rechaza la entrada malformada y una revisión independiente no halla lecturas anómalas.	Un servicio aparentemente sano todavía puede estar comprometido.
Zenith Equipo de servicio	Restauró por etapas	Ejecutó: Despliegue una corrección revisada de consultas y un rol de mínimo privilegio; ejecute pruebas funcionales delimitadas.	El retorno gradual prueba dependencias antes de ampliar el acceso.
Amber Equipo de decisiones	Aceptó el resultado operativo	Pidió aprobación del responsable solo después de: Las búsquedas normales funcionan, se rechaza la entrada malformada y una revisión independiente no halla lecturas anómalas.	Recuperar es una decisión de servicio, no solo un panel verde.

05 / 05

Mejora

ID.IM

Añada pruebas de consultas previas al despliegue, revisión de accesos y lista de evidencia de impacto en datos.

Su decisión. Antes de abrir la respuesta, decida qué debe hacer cada equipo nombrado, cómo, por qué, quién lo aprueba y qué evidencia cambiaría la decisión.

Mostrar la respuesta desarrollada de los equipos

Equipo	Qué hizo	Cómo lo hizo	Por qué lo hizo
Yarrow Equipo de evidencias	Convirtió incertidumbre en prueba	Documentó la laguna de evidencia y propuso: Añada pruebas de consultas previas al despliegue, revisión de accesos y lista de evidencia de impacto en datos.	Una lección requiere una comprobación futura medible.
Zenith Equipo de servicio	Ensayó el control modificado	Asignó responsable y fecha para probar: Añada pruebas de consultas previas al despliegue, revisión de accesos y lista de evidencia de impacto en datos.	Una tarea no probada no es una mejora verificada.
Amber Equipo de decisiones	Cerró el registro de decisiones	Aprobó recursos, siguió al responsable y comprobó el nuevo control.	El aprendizaje debe alimentar Gobernar, Identificar y Proteger.

Criterio de aceptación de la recuperación

Las búsquedas normales funcionan, se rechaza la entrada malformada y una revisión independiente no halla lecturas anómalas.

Mejora que debe verificarse

Añada pruebas de consultas previas al despliegue, revisión de accesos y lista de evidencia de impacto en datos.