SoK: A Taxonomy for Cybersecurity Incident Response Influence Factors

Resumen Técnico: SoK: Una Taxonomía para los Factores de Influencia en la Respuesta a Incidentes de Ciberseguridad

Planteamiento del Problema

La literatura sobre la respuesta a incidentes de ciberseguridad (CIR, por sus siglas en inglés) se ha expandido significativamente desde principios de la década de 2000, impulsada por la creciente frecuencia y complejidad de los ciberataques. Sin embargo, este cuerpo de conocimiento permanece fragmentado en múltiples dominios, incluyendo la tecnología, la interacción humano-computadora, la teoría organizacional y los factores humanos. Los estándares actuales de la industria (por ejemplo, NIST SP 800-61) y los marcos académicos a menudo carecen de una sistematización unificada, de abajo hacia arriba (bottom-up), de los factores específicos que influyen en las capacidades de preparación y respuesta de una organización. Existe una brecha crítica en una taxonomía integral, agnóstica a los dominios científicos, que consolide décadas de hallazgos empíricos para guiar la investigación y la práctica futuras.

Metodología

Los autores llevaron a cabo una revisión sistemática de la literatura (SLR) de tres fases siguiendo las directrices PRISMA 2020, analizando un total de 457 publicaciones (417 científicas, 40 no científicas) publicadas entre 1999 y mediados de 2024.

1. Proceso de Selección:

   • Fase I (Búsqueda): Una búsqueda sistemática en Google Scholar, JSTOR y SCOPUS utilizando conceptos centrales ("incident response", "influence", "cybersecurity") arrojó 457 artículos.
   • Fase II (Cribado): Se seleccionaron 190 artículos basados en su alineación con la definición de NIST para la respuesta a incidentes, excluyendo estudios enfocados únicamente en detección/recuperación, operaciones militares/de inteligencia o incidentes cinéticos.
   • Fase III (Evaluación de Calidad): 105 artículos revisados por pares (conferencias, revistas, tesis doctorales) que cumplían con criterios estrictos de calidad (diseño de investigación claro, enfoque en desafíos organizacionales/humanos en lugar de solo innovación técnica) formaron el conjunto de datos final.

2. Desarrollo de la Taxonomía:

   • Los autores adaptaron el método de desarrollo de taxonomías propuesto por Nickerson et al. [11], extendiéndolo para manejar factores cualitativos y no discretos.
   • Paso 1 (Libro de Códigos/Codebook): Se derivó una taxonomía preliminar a partir de 12 artículos de alto nivel utilizando un enfoque de codificación mixto deductivo-inductivo. La muestreo y el refinamiento iterativo continuaron hasta alcanzar la saturación conceptual.
   • Paso 2 (Validación): La taxonomía preliminar se aplicó a los 93 artículos restantes. La confiabilidad inter-evaluador (IRR) se midió mediante el kappa de Cohen. A través de tres iteraciones de refinamiento de nombres de categorías, descripciones y fusión de subcategorías superpuestas (por ejemplo, combinando "Gestión de Personas", "RR.HH." y "Trabajo Diario" en "Gestión"), el equipo logró un IRR final de $\kappa = 0.721$, superando el umbral de 0.61.
   • Comparación: La taxonomía resultante se comparó con siete marcos académicos establecidos y el Perfil de la Comunidad NIST SP 800-61r3 para identificar brechas de cobertura.

Contribuciones Clave

La contribución principal es la Taxonomía de Factores de Influencia en la Respuesta a Incidentes de Ciberseguridad (CIR-IF), un marco estructurado que organiza 105 factores de influencia en dos dimensiones principales: Factores Humanos y Factores de Contexto.

• Dimensión de Factores Humanos: Se centra en los individuos involucrados en la respuesta.
  • Conocimiento: Habilidades duras/blandas de los empleados y conciencia situacional de ciberseguridad.
  • Cognición, Rasgos de Personalidad y Comportamiento (CPTB): Motivación intrínseca, confianza, manejo del estrés, sentido de la comprensión (sensemaking), toma de decisiones y colaboración.
• Dimensión de Factores de Contexto: Se centra en el entorno en el que ocurre la respuesta.
  • Atacante: Motivación, objetivos, capacidades y Tácticas, Técnicas y Procedimientos (TTPs).
  • Regulaciones: Leyes, regulaciones oficiales, normas de la industria y estándares.
  • Económico: Presupuesto, presiones de ingresos, impacto en el negocio y socios de la industria/cadena de suministro.
  • Tecnología: Herramientas, usabilidad, calidad de los datos, infraestructura de TI y automatización.
  • Procesos: Procedimientos Operativos Estándar (SOPs), manuales de procedimientos (playbooks) y políticas.
  • Organización: Estructura, tamaño, jerarquía, prácticas de gestión, aprendizaje organizacional y cultura de la empresa.

Además, el artículo proporciona un libro de códigos (codebook) con ejemplos textuales para cada factor, lo que permite a otros investigadores aplicar esta taxonomía en análisis de contenido cualitativo (por ejemplo, el método de Mayring) y ofrece un método para derivar posibles relaciones entre factores.

Resultados

• Tendencias de Publicación: El número de publicaciones relevantes experimentó un aumento significativo a partir de 2014, continuando su ascenso hasta 2022.
• Distribución de Factores:
  • Principales Factores Humanos: Conocimientos/Habilidades de los empleados (32%), Conciencia Situacional de Ciberseguridad (23%) y Colaboración (19%).
  • Principales Factores de Contexto: Gestión (19%), Herramientas/Usabilidad/Datos/Infraestructura de TI (16%) y SOPs/Playbooks/Políticas (16%).
• Análisis de Brechas:
  • En comparación con NIST SP 800-61r3, la Taxonomía CIR-IF revela que el estándar se enfoca fuertemente en factores relacionados con el contexto (tecnología, procesos) pero subrepresenta los factores humanos (capacidades cognitivas, estrés, motivación) y las dinámicas organizacionales específicas (estilos de gestión, cultura).
  • Los marcos académicos existentes cubren solo subconjuntos de las categorías identificadas en la Taxonomía CIR-IF, confirmando la necesidad de un modelo más completo.
• Cadenas de Dependencia: Los autores construyeron cadenas de dependencia teórica vinculando factores a través de los estudios (por ejemplo, Gestión $\to$ Presupuesto $\to$ Habilidades del Analista $\to$ Burnout $\to$ Manejo del Estrés). Estas cadenas se alinean con el modelo de Demandas-Recursos Laborales (JD-R), pero se presentan como hipótesis para verificación futura, no como causalidad probada.

Significación y Reivindicaciones

El artículo posiciona la Taxonomía CIR-IF como la primera sistematización unificada y de abajo hacia arriba de los factores de influencia de la CIR derivada de datos empíricos. Su importancia radica en:

1. Proporcionar una Base: Ofrecer a los investigadores un "punto de entrada de baja fricción" y una base sólida para la generación de hipótesis y la construcción de teorías en un campo que anteriormente carecía de una estructura unificada.
2. Cerrar Brechas: Destacar que los estándares actuales de la industria (NIST) y los modelos académicos a menudo pasan por alto dimensiones humanas y organizacionales críticas, como el impacto de los estilos de gestión en el agotamiento (burnout) de los analistas o el papel de la confianza en la resolución de conflictos.
3. Permitir la Investigación Sistemática: El libro de códigos y la taxonomía proporcionados permiten la clasificación sistemática de nuevos hallazgos, facilitando la identificación de áreas poco exploradas (por ejemplo, la influencia específica de socios de la industria, como los aseguradores, en la toma de decisiones).
4. Alcance Modesto: Los autores declaran explícitamente que las relaciones de factores identificadas son constructos teóricos basados en la literatura existente y no representan una causalidad verificada empíricamente. La taxonomía refleja el estado actual de la investigación académica y está diseñada para ser extensible a medida que el campo evolucione.