Una célula por crisis
Ransomware, cuenta comprometida, fuga de datos: cada crisis tiene su espacio. Funciones reunidas, comunicaciones y conmutaciones trazadas, alcance compartido por todo el equipo implicado.
Conducción operativa · el cockpit en acción
Seguir una acción cíber desde su señal inicial hasta su cierre.
Cuando una señal se ha calificado, Galyct Pro permite asociarla a un riesgo o a un incidente, asignar una acción, seguir su estado y conservar los elementos que justifican la decisión y el cierre.
Comprender el riesgo. Recuperar el control. Mantenerse en el tiempo.
Alojado en Francia, en Scaleway · IA Mistral (UE), bajo supervisión humana · ningún resultado garantizado: reducimos la exposición, no prometemos el riesgo cero.
01 · EL CICLO OPERATIVO
Seis etapas, un único hilo que nunca se rompe
La conducción operativa no es una sucesión de herramientas, es un ciclo. Cada señal del terreno se convierte en un análisis, una prioridad, una acción y después una prueba defendible. Usted entra en la etapa útil; las demás siguen, sin volver a introducir nada.
- 1ObservarSus herramientas conectadas (EDR, cortafuegos, copia de seguridad, inteligencia) envían sus señales: la vista «Señales» las reúne, ordenadas y filtradas según su exposición.
- 2AnalizarEnlaces, cabeceras de correo, dominios, IOC y vulnerabilidades calificados; análisis automatizado en Europa, bajo supervisión humana.
- 3PriorizarEl cockpit correlaciona activos, riesgos, alertas y obligaciones: la próxima decisión se hace visible, no queda sepultada.
- 4ActuarAcciones asignadas, responsables, plazos, playbooks y remediaciones seguidos de principio a fin.
- 5ProbarHechos, hipótesis y decisiones vinculados: un expediente defendible ante la dirección, la auditoría, la aseguradora o el regulador.
- 6SostenerContinuidad, ejercicios, lecciones aprendidas y trayectoria: la organización aprende y se mantiene en el tiempo.
El principio: nada se introduce dos veces, nada se pierde entre dos etapas.
02 · LA CÉLULA DE CRISIS
Recuperar el control sin destruir las pruebas
En una crisis, la primera víctima es la trazabilidad. Se abre una célula dedicada, se reúnen las funciones, se lleva el diario: mientras usted estabiliza, el cockpit mantiene el hilo de las decisiones, para la aseguradora, el regulador y el área jurídica.
Playbooks con marca de tiempo
Playbooks operativos (BEC, ransomware, exfiltración) con marca de tiempo, asignados y anotados: etapas críticas, exigencia de prueba y SLA. Recupera el control sin improvisar.
Diario de decisiones y pruebas
Cada decisión, hipótesis y acción queda registrada, con marca de tiempo y exportable. El diario distingue los hechos establecidos de las señales débiles: nunca se confunde lo que se sabe con lo que se supone.
Reloj normativo
Calendarios y notificaciones en tiempo real, incluida la notificación de violación del RGPD a la CNIL en 72 h: las personas adecuadas avisadas en el momento oportuno, sin dejar escapar un plazo crítico.
03 · EL DIARIO
Lo que el equipo ve realmente durante una crisis
Extracto de un diario de célula, caso de ejemplo: compromiso de una cuenta de correo (BEC). Cada línea tiene marca de tiempo, está atribuida y es defendible a posteriori.
- 09:14 Alerta recibidaConectorConexión inusual en una cuenta de la dirección notificada desde Entra ID. Evento abierto, célula de crisis creada.
- 09:22 CalificaciónHechoCabeceras de dos correos analizadas (SPF/DKIM/DMARC): suplantación confirmada, IOC añadidos al expediente y cotejados con un indicador MISP entrante.
- 09:31 DecisiónTrazableRestablecimiento forzado de la cuenta y revocación de las sesiones. Decisión registrada, responsable: administrador de sistemas.
- 09:40 HipótesisSeñal débilPosible regla de reenvío maliciosa, por verificar. Marcada como hipótesis, no como hecho establecido.
- 10:05 Plazo activado72 hAnálisis de impacto abierto: si hay datos personales afectados, el reloj de notificación a la CNIL se activa y se sigue.
Vista real del principio, datos ficticios. La resolución se juzga caso por caso: ningún resultado está garantizado.
04 · ASIGNAR Y SEGUIR LAS ACCIONES
Cada acción tiene un responsable, un plazo, un estado
Una decisión sin responsable ni plazo no es una decisión. El cockpit transforma cada decisión en una acción con seguimiento: quién hace qué, para cuándo, en qué punto está, fuera de crisis igual que en crisis.
- Aislar de la red el equipo sospechosoAdministrador de sistemasHoyEn curso
- Notificar a la dirección y al DPDCISO+2 hEn curso
- Verificar las copias de seguridad de AcronisProveedor de servicios gestionados+4 hPendiente
- Análisis de impacto RGPDDPD+24 hPendiente
- Lecciones aprendidas y plan de remediaciónCISO+7 dPlanificado
Responsables y funciones
Acciones asignadas a una persona real, según su función (administrador, editor, miembro). Cada cual ve lo que le corresponde, sin perder la visión de conjunto.
Plazos y SLA
Plazos visibles, recordatorios automáticos, plazos normativos activados: no se deja escapar un plazo porque «nadie lo había visto».
Estado y prueba de cierre
Cada acción se cierra con una prueba de corrección. El seguimiento se convierte en un registro aprovechable para el comité, la auditoría o la aseguradora.
05 · LO QUE LLEGA DEL TERRENO
Sus propias herramientas alimentan el cockpit, en solo lectura
Usted aporta sus instancias; Galyct las lee, nunca las controla. EDR, cortafuegos, copia de seguridad e inteligencia llegan al mismo lugar, filtrados según su exposición, sin base de inteligencia fuera de la Unión Europea, sin agente de Galyct que desplegar en sus equipos.
EDR / XDR
CrowdStrike, SentinelOne, Microsoft Defender, HarfangLab, Sophos: detecciones y salud del parque de equipos, en lectura.
Cortafuegos
Stormshield, Clavister: las alarmas de red (filtrado, IPS) llegan al cockpit y a la célula de crisis.
Copia de seguridad
Acronis: el estado de los trabajos y de las pruebas de restauración, la copia de seguridad vigilada, no supuesta.
Inteligencia
MISP y vigilancia CERT-FR: los indicadores y boletines pertinentes para su contexto, vinculados a sus escenarios.
«El cliente aporta su instancia»: conexión en lectura, nada que instalar en los equipos. Se añaden nuevos conectores por oleadas. Ver todos los conectores →
Y UNA VEZ RECIBIDOS
Tres vistas que encarnan el ciclo
Las señales no se amontonan: se ordenan, se vinculan al parque y se convierten en decisiones. Tres vistas del cockpit, alimentadas por sus conectores, visibles desde hoy con datos de ejemplo.
Señales
El flujo consolidado de todas sus herramientas, ordenado por gravedad y por fuente. Con un clic, una señal se convierte en una acción de remediación con seguimiento, o abre la célula de crisis.
Parque y agentes
La salud de su parque de un vistazo: equipos en riesgo, protección antimanipulación desactivada, máquinas no vistas, agregado a partir de sus EDR y cortafuegos.
Centro de incidentes
El puesto de mando de triaje: estado de crisis, señales críticas por resolver, cronología reciente, para decidir antes de actuar en la célula.
06 · MANTENERSE EN EL TIEMPO
Tras la crisis, la continuidad: el ciclo se cierra
Recuperar el control no basta: hay que volver a arrancar, aprender y estar preparado para la próxima vez. La continuidad cierra el ciclo y vuelve a alimentar la gestión del riesgo.
01Volver a arrancarPCA / PRA (ISO 22301), actividades críticas y RTO/RPO por actividad: una recuperación dirigida, no improvisada.
02DocumentarExpediente del incidente y registro de pruebas vinculados a las decisiones: defendibles ante un comité, una aseguradora o un regulador.
03AprenderLecciones aprendidas estructuradas: lo que funcionó, lo que faltó, lo que se corrige, sin juicios de intenciones.
04PrevenirLas lecciones aprendidas alimentan los escenarios de riesgo y los ejercicios siguientes: la organización sube un escalón de madurez.
07 · LO QUE NO PROMETEMOS
Dirigir un incidente también es fijar sus límites
Una conducción operativa seria precisa sus límites. Lo que sostenemos: constataciones aprovechables, decisiones trazables y una trayectoria con seguimiento.
Sin riesgo cero
El objetivo es reducir la exposición y mantener el hilo de las decisiones, no garantizar la imposibilidad de un incidente: ningún resultado está garantizado.
Ninguna atribución sin pruebas
No se designa a ningún responsable sin elementos técnicos o contextuales suficientes. Lo que no es demostrable sigue siendo una hipótesis, nunca un hecho.
La IA asiste, la persona decide
El análisis automatizado, en Europa, acelera la calificación; la decisión sigue siendo humana y supervisada. Nunca le pedimos sus códigos ni sus contraseñas.
Un entregable sirve a una decisión
Diario, expediente, lecciones aprendidas: cada rastro sirve a una remediación, a una prueba o a una decisión. Si no, no tiene cabida en la consola.
¿Una crisis cíber en curso?
Sospecha de intrusión, ransomware, cuenta crítica comprometida, fuga de datos: estabilice sin destruir las pruebas y hágase acompañar. Abrimos una célula de crisis y mantenemos el hilo de las decisiones.
Vea la conducción operativa en su contexto.
Visite libremente el cockpit con datos de ejemplo, o solicite una demo en directo de 30 minutos. Sin compromiso, sus datos se tratan en la Unión Europea.