Artículo séptimo. Segmentación de redes y contención de propagación lateral.
Con el objeto de reducir el impacto y evitar la propagación de un incidente de ciberseguridad, los Operadores de Importancia Vital deberán adoptar medidas de segmentación lógica y/o física de redes que permitan limitar el movimiento lateral del incidente entre sistemas, entornos y activos críticos.
En particular, una vez detectado un incidente de ciberseguridad, o ante la sospecha de su ocurrencia, la institución deberá:
a) Aislar de forma inmediata los segmentos de red, entornos de virtualización, servidores físicos o lógicos, y otros activos digitales respecto de los cuales exista compromiso o riesgo razonable de compromiso;
b) Restringir o bloquear el tráfico de red entrante y saliente entre sistemas productivos, entornos de respaldo, sistemas de gestión, administración o monitoreo, excepto cuando dicha comunicación sea estrictamente necesaria para la contención del incidente;
c) Implementar, cuando sea técnicamente posible, segmentación específica para entornos de virtualización;
d) Separar y proteger los sistemas de respaldo del resto de la infraestructura afectada, restringiendo su acceso y comunicación durante la gestión del incidente;
e) Suspender temporalmente las credenciales, integraciones o servicios compartidos que permitan el desplazamiento lateral del incidente entre segmentos de red.
Las medidas de segmentación y aislamiento deberán mantenerse vigentes mientras persista el riesgo de propagación del incidente, y su levantamiento deberá realizarse de manera gradual y controlada, una vez mitigado dicho riesgo.
La institución deberá asegurar que las decisiones adoptadas queden debidamente registradas, incluyendo su alcance, duración y justificación.