Nota del editor: Este artículo de opinión, escrito por Julia Grunewald, directora sénior de Gestión de Productos de Tanium, se publicó originalmente en y en , en SC Media.
La gestión de la exposición se ha consolidado como una potente alternativa a la gestión tradicional de vulnerabilidades, y ello por una buena razón. Una estrategia de seguridad proactiva y permanente, que identifica continuamente las vulnerabilidades de una organización y las prioriza en función del riesgo, nos ayuda a saber dónde debemos centrar mejor nuestros recursos limitados.
Sin embargo, ya nos encontramos al borde de la siguiente etapa de madurez en la gestión de la exposición a , impulsada por medidas correctivas oportunas y automatizadas. Le presentamos la gestión de la exposición basada en la remediación como prioridad.
¿Qué significa realmente «la remediación ante todo»?
Muchos programas de gestión de la exposición comienzan por la visibilidad. Detectan vulnerabilidades, errores de configuración y otros riesgos. A continuación, establecen un orden de prioridad entre esos riesgos y los comunican a los equipos encargados de subsanarlos. Sin embargo, este proceso presenta algunas desventajas: es posible que los equipos operativos no sepan cómo subsanar cada riesgo, y puede que para algunos hallazgos ya se hayan programado medidas correctivas, lo que añade tiempo y frustración al proceso de corrección.
¿Y si invirtiéramos este proceso? Si partimos de las medidas correctivas, como los parches o las actualizaciones de aplicaciones, agrupadas según los hallazgos que corrigen, podemos elaborar rápidamente una lista de comprobación con los pasos a seguir que podamos compartir entre los equipos de seguridad y de operaciones, con el fin de lograr una reducción de riesgos sencilla y unificada. Al incorporar información contextual, como los calendarios de parches existentes y la seguridad de los mismos, podemos tomar decisiones acertadas y basadas en el riesgo sobre qué medidas deben adoptarse en primer lugar, lo que elimina la necesidad de revisar línea por línea una hoja de cálculo con los resultados.
Utilización de la visibilidad para cuantificar la reducción del riesgo
Existen algunos elementos fundamentales que son necesarios para hacer realidad la visión de «la corrección como prioridad», empezando por una visión única del riesgo. Intentar formarse una idea de la exposición al riesgo utilizando múltiples herramientas y correlacionando datos procedentes de herramientas y hojas de cálculo dispares provocará frustración y dará lugar a decisiones basadas en datos incompletos. Entre los retos que plantea este enfoque se encuentran:
- El uso de herramientas dispares hace que se pierda el contexto al cambiar de una a otra, y cada una tiene su propio método de priorización.
- No existe una cuantificación clara de la reducción del riesgo derivada de una medida correctiva.
- La elaboración de informes en herramientas diferentes es un proceso manual, que requiere mucho tiempo y en el que es fácil cometer errores.
- El uso de diferentes herramientas puede dar lugar a múltiples fuentes de información y a posibles lagunas.
- Dificultad para evaluar el impacto de los parches en el nivel general de riesgo.
- La proliferación de herramientas, la deuda de integración y la fatiga por alertas.
Casi 50,000 CVE notificados el año pasado no hace más que agravar estos retos. Y las CVE no son los únicos riesgos de los que deben preocuparse los equipos. Además de comprender los datos sobre vulnerabilidades, necesitamos un flujo continuo de información sobre la superficie de ataque externa que se actualice constantemente, certificados TLS/SSL inseguros, errores de configuración, contenedores no autorizados y contexto adicional —como el riesgo de movimiento lateral y la importancia crítica de los activos— para obtener una visión completa de los riesgos. Necesitamos que todo ello se encuentre en un único lugar consolidado, que sirva de fuente de referencia, con vínculos claros entre los riesgos identificados y las medidas correctoras.
Impulsar la toma de medidas mediante una evaluación de riesgos fiable
A continuación, debemos tener en cuenta una evaluación precisa del riesgo. Los sistemas de puntuación estándar del sector, como el Sistema Común de Puntuación de Vulnerabilidades (CVSS), constituyen un punto de partida, pero la priorización en la práctica exige más. La combinación del CVSS con la importancia de los activos, la madurez de los exploits y la información de inteligencia, así como el riesgo de movimiento lateral, garantiza que nos centremos en las vulnerabilidades que más importan en este momento. La puntuación unificada permite:
- Identificación inmediata de exposiciones de alto impacto.
- Integración directa con los flujos de trabajo de corrección, que incluyen la aplicación de parches, la aplicación de configuraciones y las actualizaciones de aplicaciones.
- Una priorización precisa basada en el contexto, y no únicamente en la gravedad teórica.
Muchas herramientas de gestión de riesgos se centran en la definición del alcance, la identificación y el establecimiento de prioridades. Con la gestión de exposiciones basada en la corrección prioritaria, los riesgos priorizados se vinculan directamente a las herramientas de corrección integradas en el producto, entre las que se incluyen la aplicación de parches, las actualizaciones de aplicaciones, las correcciones de certificados y los cambios de configuración. Este estrecho vínculo entre la puntuación y la actuación acelera la reducción del riesgo y garantiza que las exposiciones identificadas se resuelvan efectivamente.
Cómo puede ayudar la IA
Las nuevas capacidades, como las recomendaciones basadas en la inteligencia artificial y los flujos de trabajo de corrección automatizados, prometen eliminar muchos de los retos que desde hace tiempo plantea la gestión de vulnerabilidades. Nos permiten personalizar nuestros planes de corrección para que se adapten a distintos entornos, requisitos de cumplimiento y limitaciones operativas. Podemos automatizar la aplicación de parches, las actualizaciones de aplicaciones, la aplicación proactiva de políticas y otros controles, en función de lo que resulte más adecuado para cada tipo de activo y vulnerabilidad.
La gestión de la exposición debe abarcar también una lista cada vez mayor de activos externos: tecnología operativa (OT), Internet de las cosas (IoT) y cargas de trabajo en la nube. En este caso también se aplican las mismas evaluaciones relativas a la importancia crítica de los activos, el riesgo de movimiento lateral y la información sobre amenazas. Ante un número tan elevado de dispositivos finales, la automatización basada en la inteligencia artificial puede ayudarnos a gestionar nuestro entorno tecnológico. Puede actualizar sistemas operativos y aplicaciones, aplicar y/o actualizar políticas antes de validar las medidas correctivas, así como volver a analizar la infraestructura y generar informes.
Los flujos de trabajo de remediación pueden utilizar la inteligencia artificial para respaldar todo el ciclo de vida de las siguientes cinco maneras:
- Ajuste automáticamente el nivel de criticidad de los activos de cuando un sistema quede expuesto al exterior.
- Genere planes de parches más inteligentes basados en el contexto de exposición.
- Actualice los sistemas operativos, las aplicaciones y las políticas de como parte de la corrección automatizada.
- Valide las medidas correctivas de , la repetición de los análisis y la elaboración de informes como procesos continuos y de ciclo cerrado.
- Reduzca el riesgo de «» ( ) en entornos modernos y diversos con la rapidez necesaria
La gestión de la exposición basada en la corrección prioriza la subsanación de las brechas de seguridad inmediatamente después de su identificación, en lugar de limitarse a la evaluación o a la elaboración de informes. Una plataforma completa de gestión de riesgos de seguridad, cuyo principio fundamental es la corrección automatizada, combina la detección continua de vulnerabilidades y la evaluación de riesgos con flujos de trabajo de corrección integrados y automatizados.
Este enfoque nos permite reducir la superficie de ataque de forma continua, lo que supone reducir el riesgo de costosas infracciones de seguridad cibernética y las oportunidades de los atacantes, así como mejorar la resiliencia. Por estas razones, cualquier persona que desee mejorar la gestión de los riesgos cibernéticos y el cumplimiento normativo, así como reforzar la postura de seguridad general de su organización, debería reorientar su gestión de la exposición para dar prioridad a la corrección de las deficiencias.
