Incidentes e investigación
Investiga incidentes DLP, revisa la evidencia, registra el resultado y corrige la regla que los generó.
Qué es la investigación de incidentes#
Un incidente es lo que produce una política DLP cuando el contenido coincide. La investigación es el paso que decide si la coincidencia fue un movimiento real de datos o una regla que necesita ajuste.
Trata la investigación como parte de la calidad de la política, no como una cola separada para vaciar. Cada falso positivo que revisas es una regla que debería mejorarse.
Triaje#
Un registro de incidente contiene seis campos. Léelos en este orden:
| Campo | Qué te dice |
|---|---|
| Regla coincidente | La regla de clasificación o patrón que produjo la coincidencia. |
| Endpoint y usuario | El dispositivo donde ocurrió la coincidencia y el usuario del sistema operativo que estaba activo en ese momento. |
| Canal | El canal protegido por el que se movía el contenido: USB, web, correo electrónico, portapapeles, captura de pantalla o impresión. |
| Tiempo | El momento en que ocurrió la coincidencia, en el formato de tiempo de la plataforma. |
| Evidencia | El detalle capturado que respalda la coincidencia, sujeto a tus configuraciones de evidencia. |
| Política | La política que generó el incidente, incluida su acción actual y alcance de destino. |
- Lee primero la regla coincidente. Una regla que coincide en exceso explica la mayor parte del volumen de incidentes.
- Verifica el canal. El mismo contenido saliendo por USB y por correo electrónico son dos riesgos diferentes.
- Confirma el usuario. Dado que el agente se ejecuta como servicio, la atribución de usuario es confiable incluso cuando la cuenta no es administradora.
- Busca repetición en el mismo endpoint. Las coincidencias repetidas suelen significar un flujo de trabajo que necesita una excepción, no un usuario malintencionado.
Evidencia#
La evidencia es el detalle capturado en el momento de la coincidencia. Lo que se captura depende de tus configuraciones de evidencia y del canal, porque diferentes canales exponen información distinta.
Notas y cierre#
- 1Registra la decisión
Escribe una nota que explique a qué conclusión llegaste y por qué. La nota es lo que hace que el incidente se pueda revisar después.
- 2Establece el resultado
Marca el incidente como resuelto o falso positivo. Un falso positivo es una señal de que la regla necesita atención.
- 3Ajusta la política o la regla
Si el incidente fue un falso positivo, cambia la regla o añade una excepción en lugar de cerrar solo el incidente.
- 4Escalar cuando sea necesario
Si el incidente sugiere un movimiento real de datos, asígnalo y sigue el proceso de incidentes de tu organización.