Ir al contenido principal
Blog de Tanium

Las tres etapas de la higiene de seguridad: Medición compartida

La «higiene de seguridad» significa algo diferente para cada persona. Por este motivo, ocuparse de las prácticas de seguridad puede resultar una tarea abrumadora. En la última entrega de nuestra serie de entradas de blog, compuesta por tres partes, David Damato, director de estrategia de Tanium, ofrece una serie de pautas sobre qué aspectos merece la pena medir y por qué.

Tras implantar un programa de seguridad de la información de vanguardia, la mayoría de las organizaciones declaran que «la misión se ha cumplido». Como consecuencia, los procesos de seguridad y los controles técnicos se deterioran o pierden relevancia con el paso del tiempo, y la organización no logra adaptarse a la evolución de los riesgos. Las empresas que destacan en materia de seguridad supervisan continuamente sus programas en busca de puntos débiles y mejoran constantemente los controles existentes.

En primera parte de esta serie, analicé la fase de evaluación de su proceso de higiene de seguridad. En « » (), segunda parte (), analicé cómo la alineación con un programa líder en seguridad de la información puede ayudar a equilibrar las inversiones en seguridad, cumplir diversos requisitos legales y normativos y servir de marco flexible para gestionar el crecimiento futuro. El siguiente paso consiste en evaluar continuamente su programa para garantizar que siga siendo eficaz y pertinente.

Higiene de la seguridad: medidas, métricas e indicadores clave de rendimiento (KPI)

Existe un amplio debate en el sector sobre la diferencia entre mediciones, métricas e indicadores clave de rendimiento (KPI). En general, todos estos conceptos están relacionados entre sí, aunque son distintos. Una medición no es más que un punto de datos. Entre los ejemplos se incluyen el número de vulnerabilidades o de incidentes. Una métrica, que es un tipo de medida, va un paso más allá, ya que ofrece una indicación del progreso o del rendimiento. Por ejemplo, una métrica podría incluir el número total de políticas de seguridad completadas, en comparación con un objetivo definido (p. ej., 50 políticas específicas). Un KPI es, sencillamente, un indicador clave que se ajusta a los objetivos empresariales fundamentales. Un ejemplo podría ser el tiempo medio que tarda su organización en aplicar parches críticos, lo que se traduce en un riesgo cuantificable.

Independientemente de cómo se denomine, una buena medida de seguridad siempre debe:

  • Ofrezca una perspectiva relevante y significativa sobre lo que está intentando medir;
  • Sea práctico: si no puede influir en un indicador mediante acciones claras y concretas, es posible que no merezca la pena medirlo;
  • Ser cuantificables a lo largo del tiempo, de modo que los responsables puedan hacer un seguimiento de los avances; y
  • Ser comparable con las empresas del sector, donde una ventaja competitiva resulta valiosa.

Muchas organizaciones utilizan indicadores que no cumplen los requisitos mencionados anteriormente. NIST 800-55 (se abre en una nueva pestaña) ofrece el siguiente ejemplo de indicador para determinar la eficacia de un proceso de corrección de fallos: «el porcentaje de vulnerabilidades del sistema operativo de la empresa a las que se han aplicado parches o que se han mitigado de otro modo». El problema de este tipo de medición es que depende en gran medida del número de parches publicados por un proveedor concreto, así como de la capacidad de una organización para aplicar rápidamente los parches que corrigen las vulnerabilidades. Por este motivo, resulta difícil establecer una tendencia de este indicador a lo largo del tiempo y no es fácil compararlo con el de otras empresas del sector, que pueden tener aplicaciones diferentes y un número distinto de vulnerabilidades asociadas.

Higiene cibernética: cómo medir la eficacia de la aplicación de parches

Un buen método para medir la eficacia de la aplicación de parches (es decir, la corrección de fallos) es el tiempo medio que se tarda en corregir las vulnerabilidades del software. En otras palabras: «¿Cuánto tiempo tarda nuestra organización en aplicar un parche crítico?». Este enfoque permite medir con precisión nuestro objetivo final, que es la reducción del riesgo. Cuanto más tiempo se tarde en corregir una vulnerabilidad crítica, mayor será el riesgo para su organización. Una tendencia se identifica fácilmente, ya que muestra la mejora o el deterioro a lo largo del tiempo. La medición también puede compararse con la de otras empresas del sector o con valores de referencia.

Otros ejemplos de indicadores consolidados que ofrecen la visión más amplia y precisa sobre la eficacia de su programa de seguridad son, entre otros:

  • Tiempo medio transcurrido desde la detección hasta la resolución de incidentes de seguridad. Esta es una forma excelente de describir las actividades operativas relacionadas con la detección y la respuesta ante incidentes.
  • Proporción de falsos positivos respecto al número total de eventos de detección. Esto permite conocer cómo distribuyen su tiempo los empleados.
  • Porcentaje de sistemas que cumplen con los estándares de configuración de referencia definidos. Esto le permite conocer la eficacia de su programa de gestión de configuraciones y el riesgo de que se produzcan configuraciones erróneas.
  • Porcentaje de activos gestionados. Esto le permite conocer la eficacia de su solución de gestión de activos « » y el riesgo que suponen los dispositivos desconocidos.

No se preocupe si, por el momento, no está utilizando estas medidas. Las medidas anteriores requieren procesos bien definidos y controles técnicos. No puede pretender hacer un seguimiento del tiempo medio necesario para resolver un incidente si no dispone de una capacidad de respuesta ante incidentes debidamente documentada. En tales casos, considere la posibilidad de empezar con mediciones más sencillas y propóngase mejorar con el tiempo. Es mejor disponer de algunas mediciones que no tener ninguna.

Cómo utilizan nuestros clientes Tanium para medir y mejorar el rendimiento

Muchos de nuestros clientes utilizan Tanium para evaluar el rendimiento de su programa de seguridad, aprovechando la visibilidad instantánea y escalable que ofrece nuestra plataforma de comunicaciones. Entre las medidas más sencillas se incluyen el número de parches críticos que faltan, las configuraciones erróneas de los cortafuegos basados en el host o los ordenadores portátiles que carecen de cifrado completo del disco (FDE). Los clientes con mayor experiencia utilizan Tanium para recopilar los datos necesarios para medir el tiempo medio de corrección de las vulnerabilidades o el tiempo medio desde la detección hasta la corrección.

El concepto de «higiene de seguridad» significa algo distinto para cada persona. Por este motivo, ocuparse de las prácticas de seguridad puede resultar una tarea abrumadora. Esperamos que esta serie de tres entradas del blog, disponible en y , le sirva de orientación a la hora de estructurar un plan de acción diseñado para abordar de forma metódica todos los aspectos de la higiene de seguridad. La higiene de seguridad también es un proceso. Puede evaluar su eficacia en materia de higiene en un momento determinado y, en función de sus esfuerzos, esta irá variando con el paso del tiempo. Tanium puede ayudarle a empezar a evaluar su higiene.

Para obtener más información sobre las prácticas de seguridad, consulte:

Acerca del autor,: Como director de seguridad, David Damato se encarga de la dirección estratégica del desarrollo de módulos para la plataforma Tanium y gestiona el programa de seguridad interno de la empresa. David aporta a Tanium una amplia experiencia en materia de seguridad, que abarca la respuesta ante incidentes y el análisis forense, las evaluaciones de vulnerabilidades, el desarrollo de programas de seguridad, las operaciones de seguridad y la arquitectura de redes y seguridad. Antes de incorporarse a Tanium, David ocupó el cargo de director general en Mandiant, una empresa de FireEye, donde su equipo dirigió las labores de respuesta ante incidentes y de recuperación tras las brechas de seguridad en más de 100 empresas de la lista Fortune 500 . En Mandiant, David también desempeñó un papel fundamental en el desarrollo de nuevas capacidades en los servicios de respuesta ante incidentes y en la creación de oficinas de consultoría tanto a nivel nacional como internacional. Antes de incorporarse a Mandiant, David dirigió equipos de consultoría en materia de seguridad en PwC, dentro de su área de práctica federal de Washington, y ocupó puestos en el ámbito de las tecnologías de la información en Raytheon, centrados en la gestión de redes internas y gubernamentales. David suele compartir sus conocimientos y opiniones en eventos del sector y con los medios de comunicación.