Un CSIRT necesita compromisos de tiempo medibles para que el resto de la organización sepa qué esperar de él. Los SLA típicos definen el tiempo máximo de reconocimiento de una alerta, el tiempo hasta la primera respuesta y el tiempo estimado de contención, generalmente diferenciados por nivel de severidad del incidente: un ransomware activo no puede tener el mismo plazo que un intento de phishing bloqueado automáticamente. Estos acuerdos deben ser realistas según la capacidad real del equipo, y revisarse periódicamente con datos de incidentes pasados en lugar de fijarse de forma arbitraria. Publicar los SLA hacia el negocio también ayuda a gestionar expectativas y a justificar inversión adicional en personal o herramientas cuando el volumen de incidentes supera la capacidad instalada.

Definición de Acuerdos de Nivel de Servicio (SLA)