Version 2 (April 202
TLP:CLEAR

Proyecto Código ético y de conducta
profesional de FIRST
Los miembros de los equipos de respuesta en caso de incidente y de seguridad (Equipos) tienen
acceso a muchos sistemas y fuentes de información digitales. Sus acciones pueden cambiar elmundo. Como miembro de esta profesión, un miembro de un Equipo debe reconocer laresponsabilidad respecto de sus mandantes y de otros profesionales de la seguridad, así como
respecto de la sociedad en general. La persona también debe reconocer su responsabilidad
respecto de su propio bienestar.
Este Código se ha concebido para inspirar y guiar la conducta ética de todos los miembros delEquipo, incluidos los profesionales actuales y potenciales, los instructores, los estudiantes, laspersonas inﬂuyentes y cualquiera que utilice la tecnología informática de una manera que tenga
repercusiones. El Código incluye principios formulados como declaraciones de responsabilidad,
basados en el entendimiento de que el bien público es siempre la consideración primordial. Cada
principio se complementa con directrices que ofrecen explicaciones para ayudar a losprofesionales de la computación a comprender y aplicar el principio.
A continuación se presentan los deberes, pero no ﬁguran por orden de importancia. Estos
deberes no deben considerarse como requisitos absolutos, sino como se indica en el RFC2119 dela IETF para la deﬁnición de "DEBERÍA":"en determinadas circunstancias, pueden existir motivos válidos para hacer caso omiso deun elemento en particular, pero deben tenerse en cuenta todas las implicaciones yponderar cuidadosamente el caso antes de optar por una vía diferente".
Para más información respecto de la manera de tratar posibles dilemas, véase el Apéndice A.

Deber de confianza
La conﬁanza es la base de muchas relaciones entre los Equipos, y a menudo es necesaria antes
de que pueda producirse un intercambio de información signiﬁcativo. La comunidad de FIRST sebasa en esta conﬁanza, y sólo puede seguir funcionando de esta manera si puede existir un nivel
de conﬁanza razonable entre los Equipos.
La conﬁanza signiﬁca que los miembros del Equipo sólo deben 1) asumir compromisos quepuedan cumplir, 2) comportarse de manera previsible respecto de los demás Equipos (porejemplo, respetar la norma TLP), y 3) mantener la relación de conﬁanza que tienen con otros
Equipos.

Proyecto Código ético y de conducta profesional de FIRST
https://www.ﬁrst.org
1 of 6

TLP:CLEAR

Version 1.1

TLP:CLEAR
Inicialmente, la relación de conﬁanza debe ser asumida y tener carácter transitivo, es decir,
conﬁanza la primera vez que se utiliza (Trust on First Use – TOFU), y hacer posible la conﬁanza delos Equipos en los que confían otros Equipos.

Deber de revelación de vulnerabilidad coordenada
Los miembros del Equipo que se enteren de una vulnerabilidad deben optar por una divulgación
coordinada de la misma, cooperando con las partes interesadas para remediar la vulnerabilidad
de seguridad y reducir al mínimo el daño asociado a la divulgación. Las partes interesadas
incluyen, entre otros, el informante de la vulnerabilidad, los proveedores afectados, loscoordinadores, los defensores y los clientes, socios y usuarios.
Los miembros del Equipo deberían coordinarse con las partes interesadas correspondientes
para acordar plazos y expectativas claros a efectos de la divulgación de la información,
proporcionando suﬁcientes detalles para permitir a los usuarios evaluar su riesgo y adoptar
medidas defensivas viables.

Deber de confidencialidade
Los miembros del Equipo tienen el deber de mantener la conﬁdencialidad cuando sea
apropiado. Las solicitudes de mantener la conﬁdencialidad de cierta información pueden hacersede manera explícita, por ejemplo, usando el Protocolo de Semáforos (Traﬃc Light Protocol – TLP).
Los miembros del Equipo deben respetar esas solicitudes siempre que sea posible. Si no es
posible mantener en secreto la información debido, por ejemplo, a conﬂictos con los requisitos
de la legislación local, con los contratos o con el deber de informar, el miembro del Equipo
deberá informar inmediatamente de ese conﬂicto al propietario de la información.
Algunos deberes de conﬁdencialidad se basan en leyes, reglamentos o costumbres. Si, durante larespuesta a un incidente, alguna de las partes está obligada a respetar o espera que se respete laconﬁdencialidad sobre esta base, debe hacer todo lo posible por hacer explícita esa expectativa
desde el principio. A partir de entonces, todas las partes deben atenerse a la expectativa antes
mencionada de respetar las solicitudes explícitas de mantener la conﬁdencialidad de la
información siempre que sea posible.

Deber de acuse de recibo
Los Equipos reciben información de muchas fuentes diferentes: investigadores, clientes, otros
Equipos, entidades gubernamentales, etc. Los miembros de los Equipos deben responder a lasconsultas de manera oportuna, aunque sólo sea para conﬁrmar que la solicitud ha sido recibida.
Cuando sea posible, los miembros del Equipo deben establecer expectativas respecto de lasiguiente actualización.

Deber de autorización
Los miembros de los Equipos tienen una necesidad y un derecho legítimos de entender cuáles
son sus áreas de responsabilidad, actuando sólo en los sistemas a los que están autorizados aacceder. Los miembros de los Equipos deben ser conscientes de la manera en que sus acciones
pueden afectar a los demás integrantes del Equipo y asegurarse de que no causen daños
adicionales en el desempeño de sus funciones. Deben explicarse las posibles consecuencias deProyecto Código ético y de conducta profesional de FIRST
https://www.ﬁrst.org
2 of 6

TLP:CLEAR

Version 1.1

TLP:CLEAResas acciones a los interesados afectados. Siempre que sea posible, se debería consultar a losmandantes antes de introducir cambios en sus sistemas.

Deber de informar
Los miembros del Equipo deben considerar que es su deber mantener informados a sus
mandantes respecto de las amenazas y los riesgos actuales para la seguridad. Cuando losmiembros del Equipo tienen información que puede o bien afectar negativamente o bien
mejorar la seguridad, tienen el deber de informar a las partes pertinentes o a terceros que
puedan ayudar, con el esfuerzo apropiado, teniendo debidamente en cuenta las obligaciones deconﬁdencialidad, la normativa en materia de privacidad u otras obligaciones.

Deber de respetar los derechos humanos
Los miembros del Equipo deben ser conscientes de que sus acciones pueden repercutir en losderechos humanos de los demás, al compartir información, aplicar un posible sesgo en susacciones o infringir los derechos de propiedad. Los miembros del Equipo tienen acceso a una
amplia gama de informaciones personales, delicadas y conﬁdenciales en el curso de la gestión delos incidentes. Esta información debe manejarse de manera que se respeten los derechos
humanos.
Durante la gestión de incidentes, los intervinientes no deben actuar de manera sesgada y deben
hacer todo lo posible por eliminar el sesgo de sus procesos y de la toma de decisiones, ya sea laque llevan a cabo los intervinientes o la que se incorpora en los algoritmos.
A efectos de este principio, la noción de "propiedad" (Declaración de los Derechos Humanos delas Naciones Unidas: Artículo 17) incluye intangibles como la propiedad intelectual, así como lasideas y conceptos en general, con independencia de que estén legalmente protegidos (porejemplo patentados).

Deber respecto de la salud del Equipo
Los Equipos tienen la responsabilidad de poder seguir prestando los servicios que hanprometido a sus mandantes. Esta responsabilidad incluye la salud física y emocional del Equipo.
Con el ﬁn de respetar a los miembros de un Equipo como personas y de permitir la viabilidad alargo plazo de mantener un nivel de servicio adecuado, un Equipo debe esforzarse por mantenerun entorno de trabajo saludable, seguro y positivo que apoye la salud física y emocional de(todos) sus miembros. Para responder a una crisis, las operaciones "normales" deben contribuira la salud emocional y a la reducción del estrés.

Deber respecto de la capacidad del Equipo
La gestión de incidentes es un tema en evolución que los miembros del Equipo deben estudiar
continuamente. Un Equipo debe proporcionar a sus miembros recursos para que estudien,apliquen y avancen en los conocimientos tecnológicos y cientíﬁcos dentro de su(s) área(s) deresponsabilidad. La formación o los créditos educativos de CPE/CEU pueden contribuir a ello,
pero los meros ejercicios de cumplimiento no son suﬁcientes para cumplir este deber. El Equipo
debe mantener una infraestructura tecnológica suﬁciente como para permitir la prestación deProyecto Código ético y de conducta profesional de FIRST
https://www.ﬁrst.org
3 of 6TLP:CLEAR

Version 1.1

TLP:CLEAR
sus servicios, incluidas medidas adecuadas para proteger dicha infraestructura frente ainterferencias del exterior.

Deber de recopilación responsable
La recopilación de datos es necesaria para la respuesta en caso de incidente, pero debe
establecerse un equilibrio entre el objetivo de la respuesta en caso de incidente y el respeto a losdatos de las partes interesadas.
Durante una investigación, la cantidad de información que se necesita recopilar puede variar.
Mientras avanzan en la respuesta a un incidente, los miembros del Equipo deben ir ajustando lainformación que están recopilando a la evolución de la necesidad.
Deben excluirse de los informes los datos que no sean directamente pertinentes a un incidente ysu solución.
Los datos recopilados y extraídos deben manejarse de conformidad con la legislación aplicable yrespetando la privacidad de los usuarios. Se debe pedir permiso antes de recopilar y procesar
datos bajo control de un propietario de datos. Debe respetarse la normativa aplicable altratamiento de los datos.
Los datos que puedan ayudar a otros equipos de respuesta en sus esfuerzos relacionados con
otros incidentes deben ponerse a disposición de los mismos, posiblemente en forma redactada.
La información que sea conﬁdencial y de propiedad exclusiva sólo debería facilitarse con lasprotecciones adecuadas.
Antes de compartir datos con terceros con ﬁnes de mitigación, es preciso medir los riesgos en
función de los beneﬁcios. Los datos sólo deben compartirse si los beneﬁcios superan claramentea los riesgos. Los datos sensibles deben almacenarse de manera que puedan ser fácilmente
destruidos una vez que se haya dado por cerrado un incidente. Los datos recopilados deben ser
destruidos de manera segura, con arreglo a las políticas de conservación de datos.

Proyecto Código ético y de conducta profesional de FIRST
https://www.ﬁrst.org
4 of 6

TLP:CLEAR

Version 1.1

TLP:CLEAR

Deber de reconocimiento de los límites jurisdiccionales
Los miembros del Equipo deben reconocer y respetar los límites jurisdiccionales, los derechos
legales, las normas y las autoridades de las partes involucradas en las actividades relacionadas
con la respuesta a incidentes.
Las leyes, los reglamentos y otras cuestiones jurídicas, como son las relacionadas con laprotección de la privacidad o las notiﬁcaciones en caso de quiebra de la seguridad de los datos,
pueden diferir en función de las jurisdicciones implicadas. Los límites jurisdiccionales pueden
venir determinados tanto por la ubicación física de las partes implicadas, como pueda ser el paíso el domicilio, como por otros factores que afectan a dichas partes. Incluso dentro de un mismo
país, las leyes y reglamentos pueden diferir entre las regiones políticas (por ejemplo, entre losdistintos estados de los Estados Unidos) o entre los distintos negocios, industrias o sectores
dentro de esa nación (por ejemplo, la atención de la salud, los servicios ﬁnancieros, lasinstalaciones gubernamentales). Los EIISI nacionales pueden tener responsabilidades y/oautoridad atribuidas para las actividades que implican a los mandantes dentro de su propia
jurisdicción, y también pueden colaborar con o "entregar" información y actividades a otras
entidades que tienen autoridad para las jurisdicciones transfronterizas.
Los miembros del Equipo deben ser conscientes de las cuestiones clave que afectan a las
jurisdicciones implicadas incluidas, entre otros, las normas de privacidad o los requisitos denotiﬁcación en caso de quiebra de la seguridad de los datos. Dado que las leyes y reglamentos
de ciberseguridad y privacidad evolucionan y siguen actualizándose en todo el mundo, esaconsejable consultar con un asesor jurídico informado para obtener orientación siempre quelas cuestiones impliquen múltiples límites jurisdiccionales.

Deber de razonamiento basado en pruebas
Los Equipos deben desarrollar su actividad sobre la base de hechos veriﬁcables. Cuando
compartan información, como son los indicadores de compromiso o las descripciones deincidentes, los miembros del Equipo deben facilitar las pruebas y el alcance de formatransparente. Cuando ello no sea posible, deben darse junto con la información las razones parano compartir estas pruebas y el alcance.
Los miembros del Equipo deben abstenerse de divulgar o compartir rumores. Toda hipótesis
debe señalarse claramente como tal.
La transparencia de las pruebas y de los procesos de razonamiento es importante incluso en elcaso de intercambio automatizado, por ejemplo, durante el intercambio automatizado degrandes cantidades de información. En este caso, se debe comunicar una descripción delproceso de extracción de datos con un nivel de detalle que la haga inteligible.

Proyecto Código ético y de conducta profesional de FIRST
https://www.ﬁrst.org
5 of 6

TLP:CLEAR

Version 1.1

TLP:CLEAR

Apéndice ALidiar con los dilemas
Los miembros del Equipo pueden encontrarse con frecuencia en una posición en la que ninguna
acción parece satisfacer todos los principios éticos. En una situación de este tipo, hay que elegir acuál de los principios hay que dar prioridad. En tales situaciones, se alienta a quienes manejan
los incidentes a que reﬂexionen sobre cuáles son las partes interesadas y cómo pueden éstas
verse afectadas por sus acciones, preferiblemente en un debate con un colega. Como regla
general, debe elegirse la solución que suponga la menor infracción a este Código. En ocasiones,
esto podría no ser posible, por ejemplo, debido a presiones externas. En tal caso, se recomienda
proceder, señalando la existencia del dilema ético, y posiblemente expresando una protesta.

Proyecto Código ético y de conducta profesional de FIRST
https://www.ﬁrst.org
6 of 6

TLP:CLEAR