Las vulnerabilidades cada año crecen de forma exponencial, según Ponemon Institute, se estima que cada 90 minutos una nueva vulnerabilidad es detectada. Ese panorama no es alentador para las organizaciones, pues amplía dramáticamente el espectro de acción necesario para el control del riesgo cibernético en sus activos de información, además ese riesgo trasciende el impacto técnico de seguridad y obliga a contemplar los impactos operativos y de usabilidad de las aplicaciones del negocio.
Es claro que en la medida que esas vulnerabilidades sean detectadas y se controle su expansión o impacto en el menor tiempo posible, existen mejores posibilidades de evitar incidentes de seguridad. La gestión de todas esas vulnerabilidades puede resultar agobiante frente a los volúmenes actuales, entendiendo que un control adecuado implica seguir un proceso de gestión de cambios riguroso que garantice la aplicación de parches o ajustes de configuraciones, controlando los riesgos que se puedan presentar sobre la operación. Es así como los esfuerzos de gestión de vulnerabilidades requieren que los equipos de seguridad, auditoria y TI se involucren.
Este trabajo es sumamente agotador, pues realizar el proceso para cada uno de los activos que soporta la operación tecnológica de la organización puede resultar frustrante para los equipos responsables cuando hay muchas más tareas por realizar, tareas que incluso pueden resultar más estratégicas para la organización. Eso no significa que los diferentes equipos no reconozcan la importancia de esta labor, pero no se puede desconocer lo tedioso que puede resultar un ciclo de gestión de vulnerabilidades llevado de manera rigurosa.
Retos de la gestión de vulnerabilidades
La gestión de vulnerabilidades no es sencilla, enfrenta dos retos clave, uno técnico y otro cultural. El primero pretende garantizar que la mayor cantidad de datos alrededor de una activo esté presente para tomar la acciones precisas que faciliten el cierre de brechas encontradas de forma oportuna, en este caso, el escenario ideal es contar con condiciones idénticas del ambiente de producción en ambientes de pruebas o laboratorio, esto permite realizar la mayor cantidad de pruebas posibles para comprobar el correcto funcionamiento de los sistemas o aplicaciones y asegurar el cierre de la brecha.
El otro reto es el cultural, en este la comunicación juega un rol fundamental, pues es un factor crucial para lograr entender que cada una de las áreas tiene unas preocupaciones e intereses totalmente validos desde cada perspectiva, mientras para seguridad o auditoria la reducción de riesgo es crucial, para TI o Infraestructura la disponibilidad representa uno de sus mayores valores para el negocio (sin pretender ignorar la seguridad), unir estas perspectivas y que la gestión de vulnerabilidades funcione para ambas áreas podría representar una de las mayores ganancias para la organización.
[VER VIDEO: ¿Qué es Virtual Patching y cómo resuelve problemas de la gestión de vulnerabilidades?]
¿Cómo tener un ciclo de gestión de vulnerabilidades correcto?
Lo primero es ajustar los ciclos de gestión de vulnerabilidades en función de las características de cada organización, pero sobre todo los responsables deben entender que las brechas deben ser cerradas, pero al tiempo también tienen que entender que el negocio debe continuar de forma casi ininterrumpida, bajo estas condiciones, ¿Qué se debe hacer primero?, es ahí donde la automatización, el uso de tecnologías adecuadas y un correcto ciclo, resuelven este interrogante. Para que el ciclo sea efectivo debe contemplar las siguientes fases:
- Inventario / Descubrimiento: aquí el objetivo es realizar un completo mapa de los elementos involucrados en el ciclo de evaluación, donde se identifican los sistemas operativos, puertos abiertos, nombres de máquina y otra información básica de los activos.
- Análisis y detección: aquí se debe identificar las brechas presentes en los elementos tecnológicos inventariados, tradicionalmente se realiza a través de la ejecución de un análisis de vulnerabilidades bajo escenarios de visibilidad externa y/o interna.
- Clasificación: esta fase determinará la prioridad y criticidad de cada uno de los activos y vulnerabilidades descubiertas en la fase anterior, pero lo más valioso está en que esa priorización debe basarse en los niveles de riesgo corporativo o empresarial y no solo en el nivel reportado por una herramienta tecnológica.
- Cierre de brechas: diseñar y cerrar vulnerabilidades parece una etapa más adentro del proceso, pero como lo hemos mencionado anteriormente, es la fase de mayores dificultades en un ciclo de gestión de vulnerabilidades y la que genera mayores sin sabores entre las diferentes áreas responsables.
Aquí el uso de tecnologías de parcheo virtual de host o red integrado al ciclo de forma transparente, entrega tranquilidad a los equipos que velan por controlar los niveles de riesgos y no desean convivir con estos, llenando planillas de aceptación o transferencia de riesgo de manera infinita. A los equipos de TI o infraestructura les permite garantizar cumplimiento y cerrar las brechas sin arriesgar la operación, al final, este método les entrega a todos los responsables amplios márgenes de tiempo para realizar todos los análisis necesarios que les permita obtener los elementos de juicio para aprobar o no la aplicación de un parche físico o configuración definitiva.
Ahora bien, para aumentar los niveles de eficacia es necesario el uso de este ciclo de forma continua, este enfoque garantiza que las vulnerabilidades se gestionan cuando aparecen y no dentro de ciclos periódicos que solo generan mayor problemática con listas de vulnerabilidades imposibles de manjar debido a la acumulación año tras año. Adicionalmente, si complementamos el proceso con gestión de líneas base de seguridad para evaluar, monitorear y remediar problemas de configuración de diferentes tipos de sistemas, garantizamos el éxito de este tipo de ejercicios.
Hay que recordar que ante el abismal número de vulnerabilidades que aparecen cada día, priorizar los esfuerzos hace que la optimización de los recursos sean una prioridad, en ese sentido, a través del uso de tecnologías adecuadas y adaptación de los ciclos de gestión de vulnerabilidades se pueden establecer los controles y medidas de protección en tiempo real sin sacrificar la operación del negocio.
