Apenas unas semanas después de que se publicara la primera página web del mundo, en otoño de 1991, 50 expertos en criptografía se reunieron en la sala de reuniones de un pequeño hotel de California con motivo de la primera conferencia RSA (RSAC). Más de tres décadas después, Internet ha transformado la sociedad, y la RSAC es el punto de encuentro principal para quienes luchan por garantizar la seguridad de un mundo digital en constante expansión.
La RSAC, que hoy en día ha adquirido una envergadura mucho mayor, es el escenario principal de algunos de los anuncios más importantes en materia de ciberseguridad por parte de los gobiernos y los responsables de seguridad de las empresas. Además, constituye un foro de debate fundamental para los expertos, que se esfuerzan por ir un paso por delante de los atacantes.
La conferencia 45,000-person , que se celebrará los días 10 y 6-9 de mayo, es tan grande que tiene su propia gravedad, lo que atrae numerosos eventos paralelos en las inmediaciones de su sede, el Moscone Center de San Francisco. En uno de estos eventos participará Melissa Bischoping, directora de investigación en seguridad de dispositivos finales de Tanium, quien abordará los problemas a los que se enfrentan las empresas a la hora de gestionar el creciente número de vulnerabilidades en materia de ciberseguridad, así como la forma en que pueden hacer frente a este reto.
Las vulnerabilidades se han disparado. Según la Base de Datos Nacional de Vulnerabilidades (NVD) del Centro de Información sobre Seguridad de la Infraestructura Nacional ( ) del Gobierno federal, en 2023 se registraron en todo el mundo unas 29,000 vulnerabilidades y exposiciones comunes (CVE), frente a las apenas 15 registradas en 1991. Esto da lugar a un entorno cibernético complejo —y, sencillamente, confuso— al que deben enfrentarse los responsables de las empresas.
Según Bischoping, la clave para una gestión eficaz de las vulnerabilidades de consiste en tener en cuenta tanto los retos como las oportunidades inesperadas que presenta este panorama. Los nuevos avances tecnológicos y la automatización a gran escala de le ayudan a «ir al grano», dando prioridad a las vulnerabilidades que suponen la mayor amenaza para su empresa y facilitándole estrategias que puede poner en práctica de inmediato para reducir ese riesgo. (Su ponencia, titulada «Información útil para la gestión de vulnerabilidades y riesgos con Tanium Guardian», tendrá lugar en la sala Stinson del Four Seasons SF el día May 6 , a las 12 p.m. PT y el May 8 , a las 4:15 p.m. PT.)
, de Focal Point, se reunió con la Sra. Bischoping para conocer su opinión sobre el auge de las CVE, los errores más comunes que cometen las empresas y cuáles deberían ser las mejores prácticas.
(La siguiente entrevista se ha editado para mayor claridad y para acortarla.)
Las vulnerabilidades se han multiplicado en las últimas dos décadas. ¿Por qué?
La primera causa es el aumento de la adopción de la tecnología. Hace veinte años, no todo el mundo llevaba un teléfono móvil en el bolsillo, un ordenador portátil en el bolso ni disponía de un servidor al que conectarse en la oficina. Hoy en día, la tecnología está presente en todas partes.
«Hemos llegado a un punto en el que ya no es posible comprender cada línea de código ni determinar si es segura o no.»
La segunda razón es que cada vez hay más personas que buscan fallos de seguridad. Los programas de recompensas por la detección de errores y otros programas de incentivos han motivado a las personas bienintencionadas a detectar los errores antes de que lo hagan los malintencionados.
Por último, el software es cada vez más complejo y presenta capas adicionales de dependencias. Hemos llegado a un punto en el que ya no es posible comprender cada línea de código ni determinar si es segura o no.
¿Qué problemas ha planteado esto a las empresas que deben llevar un control de todo ello?
Todo el mundo está intentando hacer más con menos. No disponen de capacidad para contratar a más personal y no pueden aumentar su presupuesto. Mientras tanto, las herramientas de alerta y los canales de información sobre amenazas inundan a los analistas de ciberseguridad con más datos sobre vulnerabilidades. Reciben informes en los que se enumeran miles de vulnerabilidades en su entorno, cada una de ellas con una puntuación de gravedad.
¿Cómo establecen los equipos pequeños sus prioridades a la hora de actuar, a medida que se acumulan las vulnerabilidades? Al principio de mi carrera, daba por sentado que bastaba con corregir los errores más graves uno tras otro. No funciona así. No es posible ampliar los equipos humanos para hacer frente al creciente volumen de datos sobre vulnerabilidades.
¿Qué enfoques habituales en materia de vulnerabilidad observa que adoptan las empresas y en qué aspectos se quedan cortos?
El error más habitual es centrarse ciegamente en la puntuación del Sistema Común de Puntuación de Vulnerabilidades (CVSS), que indica la gravedad del fallo. Los titulares se centran en las puntuaciones altas porque parecen ser las más alarmantes. En realidad, una puntuación CVSS de 10 en el ordenador portátil de un usuario que se encuentra en su despacho en casa probablemente me preocupe menos que una puntuación de 7 en mi servidor de correo accesible al público, pero la puntuación por sí sola no lo pone de manifiesto. Hay puntuaciones CVSS más bajas que permiten que se produzcan filtraciones a diario.
«. Todo el mundo está intentando hacer más con menos…». Mientras tanto, las herramientas de alerta y las fuentes de información sobre amenazas inundan a los analistas de ciberseguridad con más datos sobre vulnerabilidades.»
Otro error es retrasar la aplicación de parches para corregir vulnerabilidades en la infraestructura de red. Por lo general, no se instalan agentes de punto final en routers ni en cortafuegos, por lo que la visibilidad es menor. La red también es fundamental para el funcionamiento de la empresa, y esta escasa tolerancia al tiempo de inactividad hace que las actualizaciones resulten más arriesgadas. El software de los dispositivos de red suele estar desactualizado desde hace años y es susceptible de sufrir vulnerabilidades realmente peligrosas que son aprovechadas por actores estatales y operadores de ransomware.
¿Cuáles deberían ser las mejores prácticas en materia de gestión de vulnerabilidades?
El primer paso consiste en identificar qué vulnerabilidades afectan a su infraestructura. Esto implica dar prioridad a la visibilidad mediante un inventario exhaustivo de los activos de hardware y software, junto con la recopilación de datos de telemetría de calidad.
«Si no gestiona la vulnerabilidad, tendrá que aceptar el riesgo.»
Una vez que sepa qué activos son vulnerables, necesitará una estrategia de gestión de vulnerabilidades que vaya más allá de las simples puntuaciones de criticidad y tenga en cuenta factores como la probabilidad de que se produzca un ataque.
Existen herramientas que le pueden ayudar en este sentido. Soy un gran admirador del sistema de puntuación de predicción de explotación « » (),, que estima la probabilidad de que una vulnerabilidad sea explotada en la red. El catálogo de vulnerabilidades explotadas de la CISA ( ), disponible en, que recoge las vulnerabilidades que se están explotando activamente, constituye otra herramienta útil, aunque suele haber un retraso entre la primera explotación y la publicación de la vulnerabilidad en dicha lista.
Asimismo, debe tener en cuenta el impacto real de una vulnerabilidad. Pregunte si está abordando las vulnerabilidades que podrían causar un mayor daño a su entorno al permitir que los atacantes accedan a sus «joyas de la corona» de .
Hable con los responsables de las unidades de negocio para determinar factores tales como cuánto costaría un ataque a un sistema concreto y cuánto tiempo tardarían las operaciones en recuperarse de él. Así es como se inicia el proceso de gestión de riesgos. Si no gestiona la vulnerabilidad, tendrá que aceptar el riesgo.
¿Cómo puede ayudar la tecnología?
Necesita herramientas que le ayuden a analizar las miles de vulnerabilidades que se dan a conocer cada semana y a determinar en qué debe centrar sus esfuerzos. Sus herramientas deberían identificar previamente las vulnerabilidades y indicarle automáticamente cuál es su alcance. Esto implica ponderar, mediante un algoritmo, una combinación de predicciones de explotación, puntuaciones CVSS y nivel de gravedad, con el fin de identificar las vulnerabilidades que tengan un impacto más significativo en su entorno. Su conjunto de herramientas debería poder combinar eso con la información sobre amenazas para proporcionar un contexto más amplio a esos exploits.
La tecnología también debería ofrecer recomendaciones sobre cómo implementar los cambios y elaborar guías de actuación previas para ayudar a eliminar algunos pasos manuales. Esto le da tiempo a su equipo para hablar con el propietario de la empresa sobre lo que está a punto de suceder.
La tecnología no lo es todo. También resulta de gran ayuda complementar las herramientas con la inteligencia humana mediante colaboraciones que le proporcionen conocimientos fiables sobre la gestión de riesgos y vulnerabilidades. Esto puede ayudarle a orientarse en un mar de datos e información realmente complejo que no hará más que seguir creciendo.
Eche un vistazo a otras entrevistas exclusivas con participantes que intervienen en la RSA Conference 2024 y en eventos relacionados: Aplicación de las lecciones aprendidas para la detección de amenazas a la identidad basada en inteligencia
