Las empresas medianas tienen una tarea difícil para este 2020: tratar un gran número de vulnerabilidades identificadas diariamente. Desafortunadamente, muchas de estas empresas carecen del personal o presupuesto necesarios para abordar todas ellas. En este caso, si te preocupa la seguridad de tus sistemas, lo mejor que puedes hacer es utilizar un enfoque basado en el riesgo. La Priorización de vulnerabilidades te permitirá ejecutar una exitosa gestión de vulnerabilidades.
De acuerdo con la Encuesta de Protección e Infraestructura de Riesgos y Seguridad de Gartner de 2019, solo el 40% de las PyMEs cuenta con un programa formal para gestionar vulnerabilidades. Esto significa que un 60% no invierte su dinero en evitar ataques a sus vulnerabilidades. Algunas PyMEs no cuentan con el capital monetario para un sistema de seguridad que cubra cada vulnerabilidad, por eso deben buscar otras soluciones. En este contexto, la priorización enfocada en los sistemas críticos es vital, pues permite actuar sobre vulnerabilidades específicas.
Priorización vs el exceso de vulnerabilidades
La gestión de vulnerabilidades es una función central y fundamental del programa de seguridad de tu organización. Sin embargo, las Pyme se encuentran en constante lucha por gestionar y tratar todas sus vulnerabilidades. Ahora, en 2018 la Base de Datos Nacional de Vulnerabilidades (NVD por sus siglas en inglés) identificó 18,153 vulnerabilidades. Es prácticamente imposible que una empresa pueda filtrar tantas amenazas, por lo que saber priorizar es la verdadera clave. Aplicando la Priorización de manera correcta, los esfuerzos de remediación y mitigación permitirán que uses tus recursos limitados de manera más efectiva. Esto te ayudará además, a tener una mejor visión de lo que es importante para tu negocio.
Otro desafío: Tener el capital, pero no el personal
Los informes de vulnerabilidad pueden descubrir cientos e incluso miles de vulnerabilidades por análisis. Un equipo pequeño no siempre puede seguir con éxito un programa de gestión de vulnerabilidades debido a la falta de tiempo. Gracias a esto, muchas Pymes deciden externalizar esta labor a un proveedor de servicios para gestionar su seguridad digital. En estos casos, ambos equipos deben trabajar en conjunto para aclarar lo que la organización considera prioritarios.
Algunos consejos a la hora de ejecutar la priorización
Ciertas aplicaciones pueden tener más valor en el desempeño de las tareas laborales. Estas deben ser tratadas con enfoque de priorización en el programa de gestión de vulnerabilidades. De esta manera, podrás aliviar cargas y garantizar que tu empresa pueda mantener su rendimiento.
Aprende a identificar procesos
Los mejores recursos que tienen las Pyme para identificar sistemas críticos son las unidades de negocios que usan estos sistemas y los equipos de TI que los administran. Hablar con tus equipos de TI te dará una idea sobre qué partes del sistema son las más valiosas. Algo que debes hacer también es recurrir a tus unidades de negocios. Aunque no sepan mucho del área de TI, pueden proporcionar una perspectiva diferente para la priorización, sobre qué activos son imprescindibles para ejecutar su trabajo y no evitar que se detengan las actividades.
Es imperativo determinar qué partes de tus sistemas dañarían más tu empresa si fueran explotados. Otra manera de priorizar se basa en centrarte en la inteligencia de amenazas relacionadas con la vulnerabilidad en sí. Pueden, por ejemplo, usar un sistema de puntajes de vulnerabilidad para definir si estas amenazas, aún no explotadas, son realmente primordiales. El contexto adicional proporcionado permite a las PyMEs enfocarse en actuar sobre estas vulnerabilidades.
Evalúa cómo mitigar el daño
Una vez seleccionadas las áreas más críticas, es hora de evaluar cómo se abordará su defensa con la priorización. Lo ideal es que te alejes de la naturaleza tradicional y reactiva de la ciberseguridad. Esta tendencia a no actuar rápidamente lleva a malas decisiones sobre la aceptación del riesgo dentro de los programas para gestionar de vulnerabilidades.
Es importante que los responsables de tu seguridad tomen decisiones sobre el nivel de recursos que están dispuestos a dedicar. También lo es que puedan definir los plazos asociados a la reparación de dichas fallas. La respuesta a las vulnerabilidades se presenta en tres formas: administración de parches (o remediación), mitigación de las vulnerabilidades a través de controles de compensación y aceptación de riesgos.
Gestiona mejor la aplicación de parches
La gestión de los parches debe ser parte del programa de gestión de vulnerabilidades de una organización, pues la administración correcta de parches reduce el riesgo de ataques. En la aplicación de parches también debes priorizar, encárgate primero de aquellos que tienen que ver con aplicaciones vitales para la empresa. Por ejemplo: un parche para una vulnerabilidad SSL puede no ser crítico si el sistema afectado no está expuesto a Internet. En este caso, no es urgente que lo apliques.
A menudo y sobre todo en el caso de las pymes, no será posible implementar todos los parches. Además, no todos los parches se pueden implementar de manera inmediata. Quizás porque el parche impedirá el uso de una aplicación; o porque una ventana de tiempo para implementar el cambio no está disponible a corto plazo. Parte de un programa de gestión de vulnerabilidades es identificar controles de mitigación de estas fallas como una alternativa a la implementación de un parche.
Gestiona tus Vulnerabilidades con Tenable.io y su Priorización Predictiva
Una excelente manera de gestionar las vulnerabilidades para las pymes es Tenable.io. Se trata de una herramienta que usa un enfoque práctico basado en activos, que rastrea tus recursos y vulnerabilidades. De esta manera, monitorea y clasifica tus activos dinámicos, como dispositivos móviles, en la nube y contenedores. Esta plataforma se integra fácilmente en tu entorno para aumentar la seguridad a través de mejores insights para priorizar la información relevante.
La Priorización Predictiva de Tenable.io combina datos de vulnerabilidades recolectados por Tenable con datos de terceros. Entonces analiza todo esto con un algoritmo avanzado de ciencia de datos desarrollado por Tenable Research. Cada vulnerabilidad recibe una calificación de Índice de Priorizacíon de Vulnerabilidad (VPR); Este incorpora el resultado del análisis y se actualiza todos los días.
Si quieres conocer más sobre Tenable.io contáctanos. En GB Advisors, nuestra motivación es ayudarte a construir el entorno IT que proteja los activos de tu empresa. Todo esto de la mejor forma posible.
