Basque Cyber Security Centre - Centro Vasco de Ciberseguridad

En el BCSC respetamos las pautas de gestión de incidentes propuestas por el National Institute of Standards and Technology (NIST) y el código de buenas prácticas de Trusted Introducer.

Ofrecemos los siguientes servicios:

• Análisis de incidentes (Incident analysis): tras la recepción de un incidente realizamos una valoración de la información reportada y de las evidencias relacionadas. Este análisis nos permite categorizar y priorizar el incidente (triage), así como determinar si se trata de un incidente aislado o puede estar relacionado con algún otro que nos hayan reportado. De este modo, podemos afrontarlo de la manera más eficiente.
• Apoyo a la respuesta a incidentes (Incident response support): proporcionamos apoyo y consejo a los usuarios que se ven afectados por un incidente de ciberseguridad. Les guiamos sobre las pautas a seguir y, en el caso de que sea necesario, les redirigimos al punto de contacto más adecuado según corresponda.

Ambos servicios se ofrecen mediante una línea de asesoramiento. Se puede notificar un incidente o hacer una consulta técnica o de los servicios que ofrecemos a través de las siguientes vías:

Indicando:

• Persona o empresa.
• Nombre y Apellidos o Nombre de la empresa.
• Teléfono.
• Población.
• Provincia.
• Dirección de correo electrónico.
• Asunto.
• Descripción detallada de la consulta. (Rogamos sea lo más detallada y clara posible con el fin de poder ofrecer una asistencia adecuada)

“Los datos personales que nos facilite serán almacenados en un fichero denominado “Contactos” del que es titular Sociedad para la Transformación Competitiva – Eraldaketa Lehiakorrerako Sozietatea, S.A. (en adelante SPRI) y serán tratados con la finalidad de la gestión, prestación, ampliación y mejora de los servicios solicitados en cada momento por el usuario, el seguimiento de sus consultas y/o la confección de estadísticas. SPRI se compromete al cumplimiento de su obligación de secreto con respecto a los datos de carácter personal suministrados y al deber de tratarlos con confidencialidad y reserva, conforme a la legislación vigente. A estos efectos adoptará las medidas necesarias para evitar su alteración, pérdida, tratamiento o acceso no autorizado. En cualquier caso si Ud. quisiera acceder, rectificar, cancelar sus datos u oponerse a la cesión, SPRI garantiza sus derechos, para lo cual deberá dirigirse por escrito a la siguiente dirección postal: Alameda Urquijo 36 4º Edificio Plaza Bizkaia 48011 BILBAO.

Así mismo, contamos con el servicio de Coordinación de la respuesta a incidentes (Incident response coordination): estamos en contacto directo permanente con otros CERT y CSIRT, con proveedores y con FCSE con el fin de ofrecer una respuesta coordinada y efectiva.

Todo el equipo del BCSC tiene la responsabilidad de proteger la confidencialidad de la información que gestionamos, independientemente de su formato o del medio en el que esté almacenada o a través del cual se trasmita.

De igual modo, cumplimos con el principio need-to-know cuando intercambiamos información por lo que únicamente será compartida con quienes realmente necesiten conocerla. En este sentido, también la anonimizamos, y no compartimos información personal salvo autorización expresa de los usuarios y entidades afectadas.

Para garantizar la confidencialidad de la información intercambiada disponemos de claves públicas PGP para el intercambio de la misma, que se pueden encontrar en Sobre BCSC/ Claves públicas. Así mismo, utilizamos TLP (Traffic Light Protocol) como protocolo de intercambio de información sensible.

Es posible contactar con el centro a nivel institucional en lo referido a la respuesta a incidentes de seguridad a través del siguiente buzón:

En el BCSC ofrecemos el servicio de Gestión de vulnerabilidades (Vulnerability Handling). Para ello, seguimos una política de revelación responsable de vulnerabilidades ya que consideramos que es la mejor manera de mejorar el software y hardware.

Por norma general, las vulnerabilidades que nos reporten serán divulgadas con una fecha límite de 45 días tras haber enviado la notificación inicial a los fabricantes. En ciertas ocasiones, como en las que dicha vulnerabilidad esté siendo explotada de manera especialmente activa o que la explotación de la misma tenga un impacto crítico, se convendrá un periodo de gracia adicional, siendo normalmente de 14 días.

Nuestra función es la de realizar la vulnerability response coordination, es decir, hacer de intermediario entre quién descubre las vulnerabilidades y los fabricantes con el fin de que dicha comunicación sea lo más fluida y honesta posible. 

En el momento de recibir las vulnerabilidades, anonimizamos los datos del reportador, salvo que este indique expresamente lo contrario o un juez lo exija, y notificamos inmediatamente a los fabricantes a través de canales de seguros, de modo que tengan tiempo suficiente para analizar el fallo y tomar las medidas pertinentes para solucionarlo.

Con el fin de agilizar el proceso, agradecemos que quién nos reporte una vulnerabilidad, lo haga de la manera más detallada posible, incluyendo cómo se ha descubierto, pruebas de concepto, etc.

Para garantizar la confidencialidad de la información intercambiada disponemos de claves públicas PGP para el intercambio de la misma, que se pueden encontrar en Sobre BCSC/ Claves públicas.