Horari · 15.30–20.30
Una tarda de decisions encadenades.
1 · Benvinguda i context · 45 min
Presentació del repte, de la central de compres i de les relacions que haureu de protegir.
2 · Creació de grups · 15 min
Formeu equips de 4 o 5 persones i comenceu a compartir com treballareu.
3 · Presentació de casos · 20 min
Lectura dels cinc desafiaments i resolució dels primers dubtes de context.
4 · Assignació i assumpció de rols · 70 min
Cada equip rep el seu desafiament, manté el SOC, activa el CSIRT i organitza la col·laboració.
Pausa
20 minuts. Tornada a les 18.20.
5 i 6 · Checkpoint i retorn actiu · 105 min
Les dues accions es fan simultàniament, un escenari cada vegada. El temps es reparteix entre els cinc desafiaments: 21 minuts per escenari: 8 min de defensa, 8 min de preguntes i retorn, i 5 min de conclusió dels tutors.
7 · Tancament i reflexió
Reflexió compartida sobre com un servei preventiu pot reduir riscos i millorar la resposta futura.
Context del client
Una central de compres que connecta les farmàcies de les illes.
El vostre client és una central de compres farmacèutiques que dona servei a una xarxa de farmàcies insulars. Agrupa comandes, negocia amb proveïdors, coordina pagaments i assegura que els productes arribin als establiments que els necessiten. La seva activitat depèn de la confiança i de la continuïtat: una incidència digital pot afectar des d’una comanda fins a la disponibilitat de productes a una farmàcia.
Com funciona el servei
Les farmàcies comuniquen necessitats i fan comandes a la central. La central valida condicions, tramita la compra amb proveïdors, coordina la preparació i lliurament, i gestiona factures i pagaments. La informació circula entre persones, correu, telèfon, sistemes de gestió, serveis remots i entitats externes.
Relacions que heu de tenir presents
Una petició urgent pot arribar aparentment d’una farmàcia o d’un proveïdor. Un canvi fet a l’ERP pot afectar un pagament o un lliurament. Un accés remot pot ser necessari per resoldre una incidència, però també pot posar en risc la informació. El vostre servei SOC i CSIRT ha d’ajudar el client a mantenir l’operació mentre valida què està passant.
02 / El repte
Assumiu el servei SOC i CSIRT.
Cada grup representa una empresa de serveis de ciberseguretat. Una organització us ha contractat per donar servei de vigilància i resposta davant incidents. Rebreu un cas amb una situació inicial, els sistemes afectats, els indicis disponibles i les condicions de servei. Tindreu dades incompletes, temps limitat i persones que necessiten saber què està passant. A partir d’aquí, el context canviarà: haureu de mantenir el criteri mentre decidiu què investigar, què contenir, què escalar i com explicar-ho.
Objectiu de l’activitat
Treballar com un equip SOC i CSIRT: protegir la continuïtat del servei, investigar sense confondre hipòtesis amb fets i defensar decisions raonades davant el client i la classe.
El contracte de servei
El client espera que detecteu situacions rellevants, valoreu el risc, activeu la resposta quan calgui i mantingueu una comunicació clara. No treballareu amb la certesa absoluta: treballareu amb indicis, hipòtesis, prioritats i conseqüències.
El vostre cas assignat
Rebreu un sobre amb el nom del client, el servei crític, la situació inicial i la primera evidència. En el moment d’obrir-lo, el vostre equip assumeix dues responsabilitats simultànies: mantenir el servei de SOC i activar el servei de CSIRT. Llegiu-lo tot abans de decidir. No suposeu fets que no podeu justificar: anoteu quina evidència us falta, qui la pot obtenir i com canviaria la vostra decisió.
Decidir sota pressió
- Pressió de temps: no podeu investigar-ho tot abans d’actuar.
- Informació parcial: una alerta pot ser soroll, un error o l’inici d’un incident.
- Interessos que competeixen: seguretat, continuïtat del servei, evidències i comunicació poden empènyer en direccions diferents.
- Canvi de context: rebreu noves dades; manteniu la decisió, adapteu-la o desfeu-la si l’evidència ho demana.
La seqüència de servei
- Rebre i entendre
Quin actiu, servei o persona pot estar afectada? Quina és la primera hipòtesi? - Valorar i prioritzar
Quin impacte podria tenir? Quina és la urgència? Quina evidència us falta? - Actuar i coordinar
Què conteniu, què investigueu i a qui escaleu? Qui n’és responsable? - Comunicar i revisar
Quin missatge doneu al client? Què heu après quan arriba informació nova?
Casos assignats
Cinc desafiaments per al servei SOC i CSIRT.
Cada equip atendrà un dels cinc casos. Llegiu el vostre enunciat, establiu una primera hipòtesi i manteniu un registre de decisions: què sabeu, què no sabeu, què feu i qui n’és responsable.
01 · Frau en el cobrament a farmàcies
Àmbit: confiança, comunicació i frau per suplantació.
Situació inicial
La central de cobrament detecta que diverses farmàcies han rebut una comunicació aparentment legítima amb una nova instrucció per tramitar cobraments. Una d’elles confirma que ha compartit informació operativa; una altra diu que ha rebut una trucada insistent per validar un canvi urgent.
El que heu d’investigar
- Quines farmàcies han rebut missatges o trucades similars i per quin canal?
- Quina identitat s’ha fet servir, quins dominis, telèfons o comptes apareixen i quins indicis de suplantació hi ha?
- S’ha produït algun cobrament, canvi de dades o accés no autoritzat?
Primera decisió
Decidiu si cal aturar temporalment algun flux de cobrament, enviar un avís preventiu a totes les farmàcies o limitar la comunicació a les afectades. Expliqueu l’impacte de cada opció.
Servei esperat
El SOC centralitza indicis i cerca patrons. El CSIRT obre l’incident, coordina la verificació amb les farmàcies afectades, proposa contenció i redacta un missatge clar per al client.
02 · Comandes i frau a proveïdors
Àmbit: ERP, anomalies, traçabilitat i tercers.
Situació inicial
Al sistema de gestió apareixen comandes urgents per imports superiors als habituals. Tenen un proveïdor conegut, però l’adreça de lliurament ha canviat i alguns camps s’han modificat fora de l’horari normal. El responsable de compres no està disponible.
El que heu d’investigar
- Qui ha creat, aprovat o modificat cada comanda i des de quin compte?
- Quins canvis s’han fet a proveïdors, adreces, quantitats o condicions?
- Hi ha altres operacions similars, accessos inusuals o correus vinculats?
Primera decisió
Valoreu si bloquegeu les comandes, preserveu les evidències del sistema i aviseu logística abans que s’executi cap lliurament. Definiu quina confirmació independent necessiteu del proveïdor.
Servei esperat
El SOC correlaciona activitat de l’ERP, correu i autenticacions. El CSIRT protegeix la traçabilitat, coordina compres i logística, i proposa el circuit de validació per evitar que el frau continuï.
03 · Pagaments i canvis de compte
Àmbit: tresoreria, segregació de funcions i autenticació.
Situació inicial
Tresoreria rep una petició aparentment enviada per un proveïdor habitual per canviar el compte bancari d’un pagament imminent. El missatge demana actuació ràpida i inclou documentació correcta a primera vista. Una persona ha iniciat el canvi, però encara no s’ha executat cap transferència.
El que heu d’investigar
- Quin canal ha fet servir la petició i com es pot verificar amb un contacte independent?
- Qui pot crear, revisar i autoritzar canvis de compte o pagaments?
- Hi ha més sol·licituds semblants, regles de correu sospitoses o inicis de sessió anòmals?
Primera decisió
Decidiu si suspendre els canvis pendents, quin segon control és imprescindible i com informar tresoreria sense exposar dades sensibles ni generar alarma innecessària.
Servei esperat
El SOC revisa autenticacions, missatgeria i canvis administratius. El CSIRT coordina la contenció amb tresoreria, fixa el procés d’autorització reforçat i manté informat el responsable del client.
04 · Accés remot i tercers
Àmbit: identitat, dispositius i privilegis.
Situació inicial
Un proveïdor extern necessita accés remot per resoldre una incidència. Alhora, el SOC observa un inici de sessió amb privilegis elevats des d’un dispositiu que no consta com a gestionat. No hi ha confirmació que sigui maliciós, però el servei afectat és crític.
El que heu d’investigar
- A quin entorn ha accedit el compte, amb quins permisos i durant quant temps?
- El dispositiu, la ubicació, l’horari i el mètode d’autenticació encaixen amb l’activitat esperada?
- Quina tasca concreta ha de fer el tercer i quin accés mínim necessita?
Primera decisió
Determineu si retireu privilegis, talleu la sessió, manteniu un accés supervisat o creeu un accés temporal limitat. Justifiqueu com preservareu la continuïtat del servei.
Servei esperat
El SOC valida el comportament d’identitat i dispositiu. El CSIRT coordina l’accés segur del tercer, aplica el principi de mínim privilegi i estableix les condicions per tancar el cas.
05 · Operació degradada del magatzem
Àmbit: continuïtat, priorització i comunicació.
Situació inicial
El magatzem continua operant, però el sistema de preparació de comandes respon amb lentitud i algunes lectures de codi no queden registrades. Hi ha comandes urgents pendents, personal treballant amb procediments manuals i informació incompleta sobre la causa de la degradació.
El que heu d’investigar
- Quins processos, ubicacions i comandes estan afectats i quins poden continuar de forma segura?
- La degradació és tècnica, operativa o de seguretat? Quines dades permeten separar les hipòtesis?
- Quines decisions manuals poden generar errors de traçabilitat o risc per al servei?
Primera decisió
Prioritzeu la continuïtat: quines comandes s’han de servir primer, quines accions es poden fer manualment i quin llindar obligaria a aturar una part de l’operació.
Servei esperat
El SOC observa disponibilitat, alertes i canvis recents. El CSIRT coordina l’anàlisi de l’impacte, protegeix l’evidència, acorda mesures de continuïtat amb operacions i actualitza el client amb missatges breus i útils.
Mandat de l’equip
Des del primer minut: SOC en marxa i CSIRT activat.
Cada grup, format per 4 o 5 persones, rep un desafiament i actua com un únic proveïdor de resposta. No podeu abandonar la vigilància mentre investigueu: manteniu el SOC operatiu i, al mateix temps, activeu el CSIRT per gestionar l’incident.
Repartiu-vos els rols
Com a mínim, hi ha d’haver una persona dedicada al SOC i una persona dedicada al CSIRT. En equips de quatre o cinc, repartiu la resta entre anàlisi d’evidències, coordinació amb el client i registre de decisions. Podeu canviar de rol si el context ho requereix, però deixeu constància del relleu.
Fitxa operativa
Utilitzeu una única fitxa per equip per mantenir el registre de fets, hipòtesis, evidències i decisions. Porteu-la al checkpoint.
Registre d’investigació
Per cada dada o afirmació, indiqueu en quina categoria es troba. Aquesta separació és obligatòria per no convertir una intuïció en un fet.
- Demostrat: fet verificat per una dada o prova concreta disponible a l’escenari.
- Plausible: explicació coherent amb els indicis, però que encara necessita comprovació.
- Hipòtesi: possibilitat oberta que orienta la recerca, però sense evidència suficient.
Afegiu sempre: quina dada la sustenta, quina prova informàtica caldria recollir, qui la pot obtenir i com canviaria la decisió si es confirma o es descarta.
Proves informàtiques que podeu proposar
Segons el cas, poden ser crucials els registres d’autenticació i accés, registres de l’ERP, històric de canvis, correus i capçaleres, regles de bústia, registres de xarxa, activitat d’endpoint, comprovacions amb tercers per un canal independent, traçabilitat de comandes, factures o pagaments, i captures de l’estat dels sistemes afectats. No cal recollir-les totes: justifiqueu quines prioritzeu i per què.
El que haureu de presentar a la classe
- Fets de l’escenari
Expliqueu els fets demostrats, els plausibles i les hipòtesis. Per a cada element, indiqueu la dada disponible o la prova que us falta. - Recollida d’evidències
Quines proves informàtiques serien crucials, en quin ordre les recolliríeu i què us permetria confirmar o descartar cadascuna? - Contenció urgent
Quines accions executeu ara per reduir el risc i mantenir l’operació? Indiqueu responsable, impacte i conseqüència d’esperar. - Resolució de l’incident
Quines accions importants faran que l’incident quedi resolt: investigació, recuperació, canvis de control, comunicació i seguiment?
Tots els grups que treballin un mateix desafiament presentaran la seva resposta a la resta de la classe. Compareu enfocaments: pot haver-hi decisions diferents si estan justificades per evidències, riscos i conseqüències.
Com treballarem
Criteri compartit en equips de 4 o 5 persones.
Regles de treball
- No presenteu una hipòtesi com un fet.
- Abans d’actuar, indiqueu quin risc voleu reduir.
- Si no teniu prou informació, concreteu quina dada necessiteu, qui la pot obtenir i per què és rellevant.
- Tota decisió ha de tenir una persona responsable i un pas següent.
- Canviar d’opinió amb una evidència nova és una bona decisió.
Reunió de checkpoint
La vostra defensa de l’escenari.
En el vostre torn de checkpoint, expliqueu a la classe què sap l’equip, quines decisions ha pres i què necessita per continuar. No heu de relatar tot el cas: presenteu allò que permet entendre el risc, validar el criteri i discutir el següent pas.
- Situació i impacte
En 2 o 3 frases: quin servei, actiu o stakeholder està afectat? Quina conseqüència pot tenir per a la central, les farmàcies, proveïdors o operació? - Fets, plausibilitats i hipòtesis
Indiqueu clarament què està demostrat, què és plausible i què és una hipòtesi. Per a cada element rellevant, citeu la dada disponible o la prova que falta. - Evidències prioritàries
Digueu quines proves informàtiques recolliríeu ara, per què són crucials i què confirmarien o descartarien. No enumereu-ho tot: prioritzeu. - Accions urgents de contenció
Expliqueu què executeu immediatament per reduir el risc i mantenir el servei, qui n’és responsable i quin impacte operatiu accepteu. - Resolució i següent checkpoint
Indiqueu les accions importants per resoldre l’incident: investigació, recuperació, comunicació, canvi de control o seguiment. Digueu també quina dada o decisió espereu validar després.
Repartiu la intervenció
Parleu com un sol equip, però feu visible la col·laboració: una persona pot presentar la situació i les evidències SOC; una altra, la decisió i la contenció CSIRT; una tercera, l’impacte sobre el client i el següent pas. Totes les persones han de poder respondre preguntes sobre el criteri de l’equip.
Retorn actiu per als equips que escolten
Durant cada defensa, la resta de la classe i els tutors no són públic passiu. Prepareu un retorn breu i concret a partir d’aquestes tres preguntes:
- Quina evidència falta? Assenyaleu una dada o prova que ajudaria a validar la decisió.
- Quin risc no s’ha considerat? Relacioneu-lo amb un stakeholder, un servei o una conseqüència operativa.
- Quina acció preventiva proposeu? Formuleu una mesura possible abans que una situació semblant torni a aparèixer.