# data[].attributes.body
· Se deberán tomar duplicados o copias de todos los medios removibles, la información en los discos duros o la memoria para garantizar la disponibilidad; es conveniente conservar el registro de todas las acciones durante el proceso de copiado y dicho proceso debería tener testigos; y, el medio y el registro originales se deberán conservar intactos y de forma segura;

· Se debe proteger la integridad de todo el material de evidencia. El proceso de copia del material de evidencia debe estar supervisado por personal de confianza y se debe registrar la información sobre cuándo y cómo se realizó dicho proceso, quién ejecutó las actividades de copiado y qué herramientas o programas se utilizaron.

# data[].attributes.headline
9.4. Aprendizaje debido a los incidentes de seguridad de la información

# data[].attributes.subject
9.4. Aprendizaje debido a los incidentes de seguridad de la información

# data[].attributes.body
a) La información que se obtiene de la evaluación de los incidentes de seguridad de la información se debe utilizar para identificar los incidentes recurrentes o de alto impacto.

b) Determinar el número de incidentes por tipo, el número de incidentes graves, el tiempo medio de resolución de incidentes.

c) Determinar el costo promedio por incidente.

d) Determinar el número de incidentes recurrentes.

e) Determinar la frecuencia de un incidente recurrente.

# data[].attributes.body
a) Además de la bitácora de registro de incidentes y el reporte de vulnerabilidades de la   seguridad de la información, el monitoreo de los sistemas, las alertas y las vulnerabilidades, se debería establecer y ejecutar un procedimiento para la gestión de incidentes.

b) Identificar y clasificar los diferentes tipos de incidentes de seguridad de la información.

c) Identificar y analizar las posibles causas de un incidente producido.

d) Planificar e implementar acciones correctivas para evitar la recurrencia del incidente

e) Notificar a todos los funcionarios afectados por el incidente de la restauración del equipo, sistema o servicio afectado, una vez esté solucionado el incidente.

f) El Oficial de Seguridad de la Información, emitirá un reporte a los jefes de las áreas afectadas por el incidente.

g) Recolectar y asegurar pistas de auditoría y toda la evidencia relacionada con el incidente.

# data[].attributes.body
b) Cuando un empleado, contratista o usuario contratado por un proveedor detecte una vulnerabilidad o debilidad en un equipo, sistema o servicio deberá ejecutar las siguientes acciones:

# data[].attributes.headline
9.2. Reporte sobre las debilidades en la seguridad

# data[].attributes.subject
9.2. Reporte sobre las debilidades en la seguridad

# data[].attributes.body
a) Todos los empleados, contratistas y usuarios de terceras partes deberán informar sobre estos asuntos a su director o directamente a su proveedor de servicio, tan pronto sea posible para evitar los incidentes de seguridad de la información.

Los mecanismos de reporte deberán ser fáciles, accesibles y disponibles.

Se les debe informar a ellos que, en ninguna circunstancia, deberán intentar probar una debilidad sospechada.

# data[].attributes.body
c) Cuando un incidente se produzca, el funcionario en turno responsable del equipo o sistema afectado, debe realizar las siguientes acciones en su orden (*):

# data[].attributes.headline
9.1. Reporte sobre los eventos de seguridad de la información

# data[].attributes.subject
9.1. Reporte sobre los eventos de seguridad de la información

# data[].attributes.body
a) Instaurar un procedimiento formal para el reporte de los eventos de seguridad de la información junto con un procedimiento de escalada y respuesta ante el incidente, que establezca la acción que se ha de tomar al recibir el reporte sobre un evento que amenace la seguridad de la información (*).

b) Establecer un punto de contacto (Oficial de Seguridad de la Información) para el reporte de los eventos de seguridad de la información. Es conveniente garantizar que este punto de contacto sea conocido en toda la institución, siempre esté disponible y puede suministrar respuesta oportuna y adecuada. Todos los empleados, contratistas y usuarios contratados por los proveedores deberán tener conciencia de su responsabilidad para reportar todos los eventos de seguridad de la información lo más pronto posible.

# data[].attributes.body
a) Desarrollar y cumplir procedimientos internos cuando se recolecta y se presenta evidencia con

propósitos de acción disciplinaria dentro de la institución.

b) Asegurar que los sistemas de información cumplan con las normas legales para la producción de

evidencia, para lograr la admisibilidad, calidad y cabalidad de la misma.

c) Para lograr el peso de la evidencia, se debe demostrar la calidad y cabalidad de los controles

empleados para proteger correcta y consistentemente la evidencia, en todo el periodo en el cual la evidencia por recuperar se almacenó y procesó, mediante un rastreo sólido de la evidencia.