Cuestionario sobre Directiva para Respuesta a Incidentes de Ciberseguridad

01.- ¿Cuál es uno de los propósitos de la Secretaría de Marina al desarrollar capacidades en materia de Ciberseguridad y Ciberdefensa?. Detectar la actividad maliciosa, prevenir, contener y mitigar incidentes. Adquirir hardware de última generación para todos los establecimientos. Sustituir al personal civil con sistemas automatizados de respuesta.

02.- ¿Qué establece el capítulo VI "Seguridad de la Información" del Acuerdo por el que se emiten políticas para el uso de TIC en la Administración Pública Federal?. Que las Instituciones deben contar con un protocolo de Respuesta ante Incidentes de Seguridad y un ERICS. Que todas las comunicaciones deben ser exclusivamente a través de la Intranet militar. Que se debe contratar a empresas privadas para gestionar los ciberataques nacionales.

03.- ¿Cómo se determina la integración del Equipo de Respuesta a Incidentes de Seguridad de la Información (ERICS)?. Determinando el impacto y afectación de los sistemas que afectó el incidente de ciberseguridad. A través de la votación del personal del Departamento de Cómputo local. Exclusivamente por orden del Secretario de Marina sin importar el nivel de afectación.

04.- ¿Quiénes integran el Primer Nivel de respuesta ante incidentes de ciberseguridad?. El usuario del equipo afectado, responsables de sistemas, el ARII y el OSI del Mando, Unidad o Establecimiento. El Centro de Operaciones de Red (NOC) y el Centro de Operaciones de Seguridad (SOC). Únicamente el Oficial de Seguridad de la Información (OSI) y el Comandante de la Unidad.

05.- En el Primer Nivel de respuesta, ¿quién es el responsable de coordinar el incidente?. El Oficial de Seguridad de la Información (OSI) y, en su ausencia, el ARII. El Comandante, Jefe o Director de la Unidad Naval. El usuario afectado junto con el área de Mantenimiento de TIC.

06.- ¿Qué personal se suma al equipo de primer nivel para conformar el Segundo Nivel de respuesta?. Personal del Centro de Operaciones de Red (NOC) de la DIGACOMINF. Personal del Cibercomando de la Armada de México (CIBERCOM-AM). Elementos del Centro Nacional de Respuesta a Incidentes Cibernéticos (CERT-MX).

07.- En el Segundo Nivel de respuesta, ¿quién asume la responsabilidad de las coordinaciones del incidente?. El Centro de Operaciones de Red (NOC). El Administrador de la Red Informática Institucional (ARII). El Cibercomando de la Armada de México (CIBERCOM-AM).

08.- ¿Quiénes integran el Tercer Nivel de respuesta ante un incidente?. El personal del equipo de segundo nivel y el Centro de Operaciones de Ciberseguridad (CSOC) del CIBERCOM-AM. Exclusivamente personal de la Secretaría de la Defensa Nacional (SEDENA) y Guardia Nacional. El Oficial de Seguridad de la Información (OSI) y empresas externas de consultoría cibernética.

09.- ¿Cuál es la misión del CIBERCOM-AM en el Tercer Nivel de respuesta?. Atender los incidentes de ciberseguridad en los Mandos, Unidades y Establecimientos Navales cuando se requiera. Sustituir permanentemente a los ARII y OSI en sus funciones diarias de mantenimiento preventivo. Administrar el presupuesto asignado para la compra de equipos de cómputo a nivel nacional.

10.- ¿Con qué organizaciones se han implementado protocolos de colaboración para intercambio de información en el tercer nivel?. Con el COC de la SEDENA y el CERT-MX de la Guardia Nacional. Exclusivamente con agencias de ciberseguridad internacionales y la OTAN. Con proveedores privados de servicios de Internet (ISP) del país.

11.- ¿Cuáles son los canales de comunicación principales para la notificación de incidentes?. Internet (Correo Web y Telefonía IP o Comercial). Intranet (Correo Web y Telefonía IP). Radiocomunicación de alta frecuencia y mensajes cifrados navales.

12.- ¿Bajo qué condición se permite la diseminación de datos del incidente a otras áreas o entidades?. Únicamente cuando su fin sea la mejora continua y con autorización del Comandante del CIBERCOM-AM. Siempre que la información se difunda primero en redes públicas para alertar a la población civil. Cuando el usuario afectado lo decida para informar a su cadena de mando inmediata.

13.- ¿Quiénes constituyen la primera línea de defensa en materia de ciberseguridad en la institución?. Los usuarios. Los Oficiales de Seguridad de la Información (OSI). El Centro de Operaciones de Seguridad (SOC).

14.- Según la directiva, ¿qué debe hacer un usuario al detectar un comportamiento anormal o una alerta de ciberseguridad en su equipo?. Informar al ARII y a los responsables de los sistemas, aplicativos de cómputo o Servicio de TIC's. Apagar el equipo de inmediato y enviarlo directamente al Centro de Operaciones de Red (NOC). Intentar eliminar el software no autorizado utilizando herramientas de terceros descargadas de Internet.

15.- En la alerta de ejemplo emitida por el CIBERCOM-AM sobre "software no seguro", ¿qué plazo se da antes de que el equipo sea bloqueado si no se atiende?. En un plazo de 03 días hábiles. De forma inmediata, bloqueando el equipo en el mismo instante del mensaje. En un plazo de 24 horas continuas.

16.- ¿De qué es responsable el usuario respecto al comportamiento anómalo de su equipo de cómputo asignado?. De evitar que el comportamiento anómalo en su equipo se prolongue sin atenderse. De reparar físicamente los componentes dañados por ataques de malware. De actualizar las reglas de los firewalls (cortafuegos) de la Unidad Naval.

17.- ¿Quiénes fungen habitualmente como Administradores de la Red Informática Institucional (ARII) en los establecimientos navales?. Los Jefes del Departamento de Cómputo, encargados de aplicativos, Servicios de TIC's o equivalentes designados. Exclusivamente el personal del Centro de Operaciones del Ciberespacio (COC). El Comandante o Director de la Unidad, junto con el área jurídica institucional.

18.- En caso de presentarse un incidente, ¿qué documento debe llenar el ARII para iniciar la respuesta formal?. El formato del "Reporte de incidentes de Ciberseguridad RIC" (Anexo "C"). El "Reporte General de Falla de Hardware" de la Unidad. El PCN-103 "Instructivo para la Rendición de Partes e Indicadores de Dirección" inmediatamente al inicio.

19.- ¿Qué formato se debe emplear para remitir los resultados al término de cualquier nivel de incidente?. El formato establecido en el PCN-103 "Instructivo para la Rendición de Partes e Indicadores de Dirección". El "Reporte de incidentes de Ciberseguridad RIC" (Anexo "C"). El "Acuerdo de confidencialidad y diseminación de datos del incidente".

20.- Según la gráfica de nivel de autoridad, ¿sobre quiénes ejerce autoridad el OSI de cada Mando Naval (Regiones, Zonas y Sectores)?. Sobre los OSI/ASI de los Establecimientos Navales y Unidades Operativas de su jurisdicción. Sobre el Cibercomando de la Armada de México (CIBERCOM-AM) y la DIGACOMINF. Sobre los usuarios civiles que se conectan temporalmente a la red de la Secretaría de Marina.

21.- ¿A quién debe mantener informado el Oficial de Seguridad de la Información (OSI) acerca de los hechos, acciones tomadas y resultados ante un incidente?. Al Comandante, Jefe o Director de su Mando, Unidad o Establecimiento Naval. A los medios de comunicación y canales oficiales de relaciones públicas. Directamente al Secretario de Marina mediante mensaje urgente.

22.- ¿Qué documentación de control debe llevar el OSI en su Mando, Unidad o Establecimiento Naval?. Un registro de los eventos e incidentes de ciberseguridad originados, tanto los solucionados como los pendientes. Un inventario del hardware que no se encuentra conectado a la red institucional para prevenir robos. Los reportes de asistencia y desempeño del personal de la Unidad Naval afectada.

23.- ¿Cuál es una de las responsabilidades directas del Comandante, Jefe o Director ante un evento de ciberseguridad?. Dar las facilidades necesarias al OSI/ASI, ARII y/o responsable de los aplicativos de cómputo para su atención. Desconectar físicamente el servicio eléctrico de la Unidad hasta que llegue personal de CIBERCOM-AM. Participar directamente en el análisis forense de los equipos vulnerados.

24.- ¿Cuál es la función principal del Centro Operaciones de Red (NOC) de la DIGACOMINF?. El monitoreo del estado de la red y resolución a problemas que afecten la disponibilidad, funcionalidad y calidad de servicio de la Infraestructura de red. La reparación de las tarjetas madre de todos los equipos de la Armada de México a nivel nacional. El diseño e implementación exclusiva del cifrado criptográfico RSA en documentos de alta clasificación.

25.- ¿A quién debe informar el NOC sobre un incidente de Ciberseguridad para su seguimiento y acciones de acuerdo a sus capacidades?. Al Centro de Operaciones de Seguridad (SOC) y al Cibercomando de la Armada de México (CIBERCOM-AM). A la Secretaría de la Defensa Nacional (SEDENA) directamente sin intermediarios. A los usuarios afectados para que ellos resuelvan el incidente de forma autónoma.

26.- ¿Cuál es la función principal del Centro de Operaciones de Seguridad (SOC) de la DIGACOMINF?. Administrar los controles de Ciberseguridad en la infraestructura de servicios de TIC's que provee la DIGACOMINF. Crear nuevas redes locales con cableado de par trenzado en todos los establecimientos navales periféricos. Resolver incidencias exclusivas del armamento naval y de los radares de superficie.

27.- Si las capacidades del SOC se ven rebasadas ante un evento, ¿con quién debe coordinar para integrar el ERICS de tercer nivel?. Con el Cibercomando de la Armada de México (CIBERCOM-AM). Con el CERT-MX de la Guardia Nacional de manera directa. Con el Oficial de Seguridad de la Información (OSI) de la Unidad afectada.

28.- ¿Qué unidad es la encargada de planear y ejecutar acciones para salvaguardar la Infraestructura Crítica de Información (ICI) de la Institución?. El Cibercomando de la Armada de México (CIBERCOM-AM). El Centro de Operaciones de Red (NOC) de la DIGACOMINF. El Administrador de la Red Informática Institucional (ARII) a nivel central.

29.- ¿Qué acción toma el CIBERCOM-AM cuando las capacidades de las demás áreas son rebasadas ante incidentes que afecten a la ICI?. Integrar y dirigir el Equipo de Respuesta a Incidentes de Ciberseguridad (ERICS). Desactivar permanentemente la Intranet institucional y ordenar el uso exclusivo de redes públicas. Suspender las operaciones de todas las Unidades y Establecimientos Navales sin excepción.

30.- ¿Quién es el punto de contacto designado para el intercambio de información con los Centros de Respuesta a Incidentes nacionales e internacionales?. El Cibercomando de la Armada de México (CIBERCOM-AM). El Comandante, Jefe o Director de la Unidad o Establecimiento Naval afectado. El Centro Operaciones de Red (NOC) de la DIGACOMINF.

31.- ¿Qué tipo de información difunde el CIBERCOM-AM al interior de la Institución como parte de su esfuerzo en ciberdefensa?. Información de vulnerabilidades cibernéticas (Alertas) detectadas. Claves privadas RSA de los Oficiales de Seguridad de la Información (OSI). Registros personales de los usuarios que han provocado incidentes intencionalmente.

32.- Si un incidente rebasa incluso las capacidades del CIBERCOM-AM e involucra a otras áreas de la Institución, ¿qué protocolo se implementará?. El Protocolo de Actuación de Seguridad en el Ciberespacio. El Protocolo Nacional de Operaciones Navales Terrestres. La directiva de Cierre Inmediato de Telecomunicaciones Radiales.

33.- ¿Qué protocolo se activa cuando la magnitud del incidente impacta la Seguridad Nacional y escala las capacidades Institucionales requiriendo apoyo del COC de la SEDENA?. El Protocolo de Ciberdefensa SEDENA-MARINA. El Acuerdo de Seguridad y Protección Civil del Estado Mayor General de la Armada. El Programa de Mantenimiento de TIC de la Administración Pública Federal.

34.- Además del apoyo de SEDENA, ¿qué otro protocolo y autoridad se puede activar ante un incidente cibernético de impacto nacional?. El Protocolo Nacional Homologado de Gestión de Incidentes Cibernéticos del CERT-MX de la Guardia Nacional. El Protocolo de Respuesta Inmediata del Comando Norteamericano de Defensa (NORAD). El Acuerdo del Comité de Arquitectura de Internet (IAB) sobre amenazas en banda ancha.

35.- Al ser la primera línea de defensa, ¿qué responsabilidad tiene el usuario sobre las directivas, manuales y alertamientos emitidos por DIGACOMINF, EMCOGCIBER y CIBERCOM-AM?. Dar cumplimiento en la parte correspondiente a la normatividad, recomendaciones y directivas emitidas. Ignorar los mensajes automatizados a menos que reciba una orden directa y verbal de su Comandante. Reescribir las políticas locales de seguridad según su criterio para mejorar el rendimiento del equipo.