Membresía en FIRST.org: Hoja de Ruta para el Site Visit.
Hemos concebido el proceso en 4 etapas, previas al Site Visit propiamente dicho (o físico como lo solemos llamar). Es decir, estas 4 etapas permiten preparar todos los insumos y requisitos para la visita técnica real, minimizando de esta forma el tiempo y complicaciones durante dicha actividad. Esto es bastante importante, considerando que el equipo auspiciado incurre en gastos para la ejecución del Site Visit.
Recomendamos revisar previamente de forma completa ambos documentos, para tener una idea más o menos global de lo que se intenta lograr/recopilar. Las siguientes son las 4 etapas que justamente recorren todo el proceso para lograrlo y que deberían cumplirse antes de planificar la Visita Física al Sitio del equipo auspiciante primario. Por comodidad, llamaremos CSIRT al equipo postulante, pero bien podría ser un CERT, SOC, etc.
Etapa 1.
Etapa 2.
Etapa 3.
Este recorrido virtual se puede realizar en una o varias fases a su vez.
Etapa 4.
En este punto se hará un nuevo recorrido de verificación del cumplimiento de todos los ítems de las 4 etapas previas y, de validarse, se planificará la Visita Física al Sitio del equipo auspiciante, cuyo fin será el de principalmente validar in-situ todas las etapas, lo cual es habitual que incluya entrevistas con:
De esta manera minimizamos el tiempo requerido para esta fase, la cual suele tomar entre 2 y 4 días hábiles de trabajo conjunto, dependiendo de varios factores como: el tamaño de la organización, la ubicación física de las instalaciones, la disponibilidad del personal, acceso a las instalaciones y las observaciones/correcciones que aparecen durante la visita y que pueden solventarse o corregirse durante la misma.
Luego de la Visita Física, se debe validar que se realizaron todos los ajustes o correcciones solicitados, en cuyo caso se procede con la redacción y emisión del informe y documentación anexa necesarias, que indican nuestro aval y recomendación para la inclusión del CSIRT postulante como miembro de FIRST.org.
Adicionalmente, sin ser esto un requisito, solicitamos al equipo u organización postulante, que nos emita una Carta de Agradecimiento, que nosotros consideramos una justa retribución al trabajo ad honorem realizado y, es a su vez un insumo muy valioso para nosotros como equipo patrocinador, pues denota el inicio de una nueva relación de confianza y colaboración en pro de la ciberseguridad, que es en el fondo, uno de nuestros grandes objetivos al apoyar la inclusión de nuevos equipos a éstas redes.
El CSIRT de CEDIA ha tenido la oportunidad de auspiciar a varios equipos de seguridad de partners o miembros para su membresía en FIRST.org. Como resultado, hemos visto, no sólo útil, sino también necesario, disponer de una hoja de ruta que guíe y facilite este proceso para los equipos que se encuentren o piensen entrar al proceso de membresía.
