Un informe de amenazas está marcado TLP:AMBER. ¿Puedes reenviarlo a tus clientes?

Las etiquetas TLP parecen sencillas, pero los entrevistadores las usan para comprobar si manejas con responsabilidad la inteligencia compartida. Los errores típicos confunden AMBER con RED o GREEN.

Qué dice TLP 2.0

El Traffic Light Protocol de FIRST define hasta dónde puede difundir el receptor la información:

• TLP:CLEAR: puede compartirse con el mundo, sujeto a las normas habituales de derechos de autor.
• TLP:GREEN: puede compartirse en la comunidad, con pares y organizaciones asociadas, pero no por canales de acceso público.
• TLP:AMBER: puede compartirse según la necesidad de conocer dentro de tu organización y con sus clientes, para protegerlos o evitar más daño. Los clientes están incluidos por defecto.
• TLP:AMBER+STRICT: limitado a tu propia organización; los clientes quedan excluidos.
• TLP:RED: solo para destinatarios nombrados, sin divulgación posterior (en una reunión, solo los presentes).

Lectura práctica

Reenviar un informe AMBER a clientes que lo necesitan para defenderse está permitido; publicarlo en un blog o dárselo a un par de un ISAC que no es cliente, no. Si la fuente añadió restricciones, se cumplen, y cualquier difusión mayor requiere su permiso explícito.

Por qué tientan los distractores

«Nunca sale de la organización» describe AMBER+STRICT. «Toda la comunidad, canales públicos» confunde AMBER con GREEN/CLEAR. «Una sola persona nombrada» es RED.

Qué buscan los entrevistadores

El alcance de AMBER frente a AMBER+STRICT, la condición de necesidad de conocer y el reflejo de consultar a la fuente antes de ir más allá de la etiqueta.