El éxito de una empresa depende de una gestión eficaz de los riesgos . Sin embargo, en el centro de operaciones informáticas de muchas empresas existe un grave problema. Los equipos de TI siguen teniendo dificultades para gestionar sus programas de gestión de vulnerabilidades con un enfoque orientado al riesgo. El resultado es un esfuerzo inútil, sistemas peligrosamente vulnerables y personas con talento atrapadas en procesos complejos y que requieren mucho trabajo.
Como ponente invitada en un nuevo vídeo de la serie «To the Point», Renee Murphy, de Forrester, destaca que, al adoptar un enfoque automatizado para la evaluación y la gestión de riesgos, las organizaciones pueden agilizar los procesos de auditoría y cumplimiento normativo, mejorar la visibilidad de los terminales y minimizar las posibilidades de que se produzca una grave violación de la seguridad cibernética.
Una avalancha de CVE
The NIST National Vulnerability Database (NVD) revealed that more vulnerabilities were published in 2021 than any year previously. Por quinto año consecutivo, hemos observado que las vulnerabilidades y exposiciones comunes (CVE) han alcanzado un máximo histórico: en esta ocasión, 20,139, lo que supone un aumento del 10 % con respecto a las 2020 registradas anteriormente.
Más de 4000 se clasificaron como de alta gravedad, lo que supondría una tarea considerable incluso para el equipo de TI con mejores recursos, y la tarea se complica aún más cuando estos equipos no pueden establecer prioridades a la hora de decidir qué errores deben corregirse en primer lugar.
Mientras tanto, una vulnerabilidad CVE heredada de 2019 may podría estar siendo explotada activamente para atacar a una organización debido a una vulnerabilidad sin parchear en una aplicación o un sistema.
Las soluciones de gestión de riesgos y cumplimiento normativo , que proporcionan una visibilidad y un control completos sobre los terminales de una organización —tanto en entornos locales como híbridos y multinube—, cuyo número crece de forma exponencial, son esenciales para reducir la superficie de ataque y garantizar la protección total de los usuarios. Sin embargo, muchos equipos de TI se enfrentan a datos obsoletos e incompletos y siguen utilizando herramientas manuales, como hojas de cálculo y múltiples soluciones puntuales, lo que agrava la creación de silos de información. Esto hace que la priorización basada en el riesgo resulte un reto, al no poder tener una visión global de lo que existe en todo el entorno.
Tal y como sostiene Murphy en su presentación: «Si se encuentra en el suelo, solo puede ver lo que tiene bajo los pies». «Tiene que subirse a su dron y ver cómo se ve el paisaje forestal desde arriba».
Elevar el nivel del debate
Por lo tanto, ¿cómo pueden los CISO y los responsables de gestión de riesgos elevar el nivel del debate y dar un giro hacia una gestión eficaz de las vulnerabilidades basada en el riesgo? Contar con soluciones integradas que ofrezcan telemetría en tiempo real, capacidades de investigación y la capacidad de subsanar rápidamente las vulnerabilidades resulta esencial para hacer frente al panorama actual de amenazas. Hágase algunas preguntas fundamentales sobre cada vulnerabilidad CVE recién publicada:
- ¿Se está aprovechando esta vulnerabilidad en entornos reales?
- ¿Qué probabilidades hay de que mi organización sea el próximo objetivo?
- ¿Hay algún sistema vulnerable?
- ¿Existen sistemas vulnerables en el entorno de producción?
- ¿Afectará el tiempo de inactividad derivado de la aplicación de parches a los servicios clave de atención al cliente?
Centrarse en el riesgo consiste, en esencia, en optimizar la gestión de vulnerabilidades. Se trata de destinar la inversión de tiempo y recursos a donde más se necesite. Como dice Murphy: «No puedo hervir el océano». «Tengo que prestar atención a lo que va a suponer un mayor riesgo».
En definitiva, los altos directivos esperan que los equipos de operaciones y seguridad de TI supervisen y gestionen el funcionamiento para mantener el rendimiento empresarial y garantizar la continuidad del servicio al cliente.
Las herramientas automatizadas de evaluación de riesgos son fundamentales
Para Murphy, la automatización es un factor clave para la gestión de vulnerabilidades basada en el riesgo. Esto puede permitir que los equipos de auditoría interna, cumplimiento normativo, operaciones de TI y seguridad dispongan de más tiempo. Una puntuación de riesgo sólida ayuda a establecer prioridades a la hora de aplicar parches y a demostrar a los auditores externos que los programas funcionan de manera eficiente. Y lo que es más importante, en un mundo en el que se produce un ataque de ransomware cada 11 segundos, conocer su situación de riesgo le permitirá evitar una filtración grave y garantizar que la organización cumpla con la normativa. «Ninguna organización debería resignarse a soportar una carga de medidas correctivas implacable», sostiene Murphy en su presentación.
«El sector de la auditoría informática ya debería haber quebrado a causa del software de supervisión, y todos deberíamos haber pasado página», añade. «Creo que las personas que hoy en día dirigen centros de datos son las más afortunadas del mundo. Lo que ustedes son capaces de hacer hoy en día, nosotros no podíamos hacerlo hace 20 años. «No debería haber ninguna excusa para no adoptar un enfoque basado en el riesgo a la hora de analizar las vulnerabilidades y las amenazas».
Puede obtener más información sobre la exposición de su empresa al riesgo de « » mediante la evaluación de riesgos de Tanium. Esta evaluación de riesgos, de cinco días de duración y sin coste alguno, ofrece una visión global de la situación de riesgo y propone medidas proactivas para proteger a su organización. Regístrese hoy mismo.
