El Art\u00edculo 23 de NIS2 impone estrictas obligaciones de notificaci\u00f3n de incidentes a las entidades esenciales e importantes. Las organizaciones deben reportar los incidentes significativos a su CSIRT nacional o autoridad competente dentro de plazos estrictos:<\/p>\n
Para las organizaciones que entregan o mantienen software a trav\u00e9s de pipelines CI\/CD, los registros de pipeline y los registros de despliegue se convierten en evidencia cr\u00edtica<\/strong> durante la investigaci\u00f3n de incidentes y los informes regulatorios. Los auditores y responsables de cumplimiento deben asegurarse de que los entornos de pipeline est\u00e9n configurados para producir y conservar la evidencia necesaria para cumplir con estas obligaciones.<\/p>\n Cuando ocurre un incidente de seguridad \u2014 ya sea un despliegue comprometido, una brecha en la cadena de suministro o un cambio de c\u00f3digo no autorizado \u2014 los investigadores necesitan reconstruir exactamente qu\u00e9 sucedi\u00f3, cu\u00e1ndo y por qui\u00e9n. Los pipelines CI\/CD est\u00e1n en una posici\u00f3n \u00fanica para proporcionar esta evidencia porque se encuentran en la intersecci\u00f3n de los cambios de c\u00f3digo, los procesos de compilaci\u00f3n, los an\u00e1lisis de seguridad y los despliegues en producci\u00f3n.<\/p>\n La evidencia del pipeline permite a las organizaciones:<\/p>\n Registros completos de cu\u00e1ndo ocurri\u00f3 cada despliegue, en qu\u00e9 entorno y el resultado (\u00e9xito, fallo, reversi\u00f3n). Estos registros deben incluir marcas de tiempo sincronizadas con una fuente de tiempo fiable.<\/p>\n Registros que vinculan cada despliegue a cambios de c\u00f3digo espec\u00edficos, incluidos los identificadores de commit, las descripciones de cambios y el autor de cada cambio. Los registros de cambios deben demostrar una cadena ininterrumpida desde el commit de c\u00f3digo hasta el despliegue en producci\u00f3n.<\/p>\n Evidencia de que se obtuvieron las aprobaciones humanas requeridas antes del despliegue. Esto incluye aprobaciones de revisi\u00f3n de c\u00f3digo, aprobaciones del comit\u00e9 asesor de cambios (CAB) donde corresponda, y cualquier autorizaci\u00f3n de cambio de emergencia con justificaci\u00f3n posterior.<\/p>\n Registros de las puertas de seguridad automatizadas, incluyendo an\u00e1lisis est\u00e1tico, an\u00e1lisis de vulnerabilidades en dependencias, an\u00e1lisis de im\u00e1genes de contenedores y cualquier otra comprobaci\u00f3n de seguridad integrada en el pipeline. Los resultados deben mostrar qu\u00e9 se analiz\u00f3, los hallazgos y si el pipeline continu\u00f3 o fue detenido.<\/p>\n Registros que establecen el origen e integridad de los artefactos desplegados. Esto incluye registros de compilaci\u00f3n que muestran c\u00f3mo se construyeron los artefactos, sumas de verificaci\u00f3n o firmas que verifican la integridad de los artefactos, y registros de qu\u00e9 c\u00f3digo fuente y dependencias se utilizaron.<\/p>\n NIS2 no especifica un periodo de retenci\u00f3n obligatorio \u00fanico para toda la evidencia. Sin embargo, se aplican las siguientes consideraciones:<\/p>\n Utilice esta lista de verificaci\u00f3n para evaluar si el entorno CI\/CD de una organizaci\u00f3n est\u00e1 preparado para respaldar las obligaciones de notificaci\u00f3n de incidentes de NIS2:<\/p>\n Para la biblioteca completa de recursos de cumplimiento de NIS2, visite nuestro NIS2 Compliance Hub<\/a>.<\/p>\n Para una descripci\u00f3n general de los principios de arquitectura de seguridad de NIS2 y c\u00f3mo se aplican a la entrega de software, consulte NIS2 Security Architecture Explained<\/a>.<\/p>\nC\u00f3mo los registros de pipelines CI\/CD sirven como evidencia de incidentes<\/h2>\n
\n
Categor\u00edas de evidencia de pipeline requeridas<\/h2>\n
Cronolog\u00edas de despliegue<\/h3>\n
Registros de cambios<\/h3>\n
Registros de aprobaci\u00f3n<\/h3>\n
Resultados de an\u00e1lisis de seguridad<\/h3>\n
Procedencia de artefactos<\/h3>\n
Requisitos de retenci\u00f3n de evidencia<\/h2>\n
\n
Mapeo de tipos de incidentes a evidencia de pipeline<\/h2>\n
\n\n
\n \nTipo de incidente<\/th>\n Evidencia de pipeline requerida<\/th>\n Periodo de retenci\u00f3n recomendado<\/th>\n<\/tr>\n<\/thead>\n \n Despliegue comprometido<\/strong> (c\u00f3digo malicioso llega a producci\u00f3n)<\/td>\n Cronolog\u00eda completa de despliegue; registros de commit y cambios para la versi\u00f3n afectada; registros de aprobaci\u00f3n; resultados de an\u00e1lisis de seguridad (especialmente puertas omitidas); procedencia e integridad de artefactos<\/td>\n M\u00ednimo 24 meses<\/td>\n<\/tr>\n \n Compromiso de la cadena de suministro<\/strong> (dependencia o imagen base maliciosa)<\/td>\n SBOM para las compilaciones afectadas; registros de actualizaci\u00f3n de dependencias; procedencia de artefactos; registros de acceso al registro; informes de evaluaci\u00f3n de proveedores<\/td>\n M\u00ednimo 24 meses; conservar los SBOM durante el ciclo de vida del software afectado<\/td>\n<\/tr>\n \n Acceso no autorizado a la infraestructura de pipeline<\/strong><\/td>\n Registros de autenticaci\u00f3n y acceso al pipeline; historial de configuraci\u00f3n RBAC; registros de verificaci\u00f3n MFA; registros de acciones administrativas<\/td>\n M\u00ednimo 24 meses<\/td>\n<\/tr>\n \n Exposici\u00f3n de datos a trav\u00e9s de registros o artefactos del pipeline<\/strong><\/td>\n Registros de ejecuci\u00f3n del pipeline (para identificar qu\u00e9 datos fueron expuestos); registros de auditor\u00eda de gesti\u00f3n de secretos; registros de acceso al almacenamiento de artefactos<\/td>\n M\u00ednimo 24 meses; puede extenderse seg\u00fan los requisitos de la autoridad de protecci\u00f3n de datos<\/td>\n<\/tr>\n \n Manipulaci\u00f3n del pipeline<\/strong> (modificaci\u00f3n no autorizada de la configuraci\u00f3n del pipeline)<\/td>\n Historial de cambios de configuraci\u00f3n del pipeline; registros de acceso a la administraci\u00f3n del pipeline; registros de commit para archivos de pipeline como c\u00f3digo; registros de aprobaci\u00f3n para cambios de pipeline<\/td>\n M\u00ednimo 24 meses<\/td>\n<\/tr>\n \n Fallo de despliegue que causa interrupci\u00f3n del servicio<\/strong><\/td>\n Registros de despliegue incluyendo detalles de errores; registros de reversi\u00f3n; registros de cambios; resultados de pruebas previas al despliegue; resultados de comprobaciones de salud posteriores al despliegue<\/td>\n M\u00ednimo 18 meses<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Lista de verificaci\u00f3n para auditores: preparaci\u00f3n para incidentes en entornos CI\/CD<\/h2>\n
Generaci\u00f3n de evidencia<\/h3>\n
\n
Integridad de la evidencia<\/h3>\n
\n
Retenci\u00f3n de evidencia<\/h3>\n
\n
Integraci\u00f3n con la respuesta a incidentes<\/h3>\n
\n
Preparaci\u00f3n para informes<\/h3>\n
\n
Recursos relacionados<\/h2>\n
Relacionado para auditores<\/h3>\n