¿Qué es la gestión de vulnerabilidades basada en los riesgos?

La gestión de vulnerabilidades basada en los riesgos es un proceso de ciberseguridad que tiene como objetivo identificar y corregir las vulnerabilidades que suponen el mayor riesgo para una organización.

La demanda de esta capacidad ha aumentado en los últimos años debido al incremento exponencial de los endpoints, así como a la mayor complejidad del entorno informático. Estos problemas, junto con otras prioridades empresariales, como el cambio a la nube y otras estrategias de transformación, han sobrecargado a muchos equipos de TI, lo que ha hecho necesario priorizar la actividad y optimizar los recursos limitados. La gestión de vulnerabilidades basada en los riesgos es una forma de ayudar a estos equipos a identificar y corregir aquellas vulnerabilidades que tienen más probabilidades de ser aprovechadas y de afectar negativamente a la actividad empresarial.

¿Cuál es la diferencia entre la gestión de vulnerabilidades basada en los riesgos y la gestión de vulnerabilidades?

Para comprender la diferencia entre la vulnerabilidad basada en los riesgos y la gestión de vulnerabilidades tradicional, es importante aclarar primero las siguientes definiciones:

Una vulnerabilidad, según la definición de la Organización Internacional de Normalización, es "una deficiencia de un recurso o grupo de recursos que puede ser aprovechada por una o más amenazas".

Una amenaza es algo que puede aprovechar una vulnerabilidad.

Un riesgo es lo que sucede cuando una amenaza aprovecha una vulnerabilidad.

Tanto las herramientas de gestión de vulnerabilidades basada en los riesgos como las tradicionales son capaces de identificar riesgos dentro del entorno. Sin embargo, la gestión de vulnerabilidades basada en los riesgos demuestra una priorización mucho más eficaz de los riesgos más inmediatos y críticos para la organización. Los componentes clave de una gestión de vulnerabilidades basada en los riesgos incluyen:

• Inteligencia sobre amenazas integrada: Los datos se recopilan, procesan y analizan para comprender mejor los motivos, los objetivos y los comportamientos de ataque de un atacante.
• Puntuaciones de riesgo integrales: El riesgo se evalúa y calcula en función de la relevancia de los recursos, la gravedad del riesgo, la probabilidad de ataque, el impacto en el negocio y otros factores importantes.
• Automatización: La inteligencia artificial (IA), el aprendizaje automático (ML) y otras aplicaciones de automatización inteligente automatizan tareas dentro del proceso de evaluación de riesgos para agilizar la actividad y optimizar los recursos.

Ventajas de la gestión de vulnerabilidades basada en los riesgos

Las organizaciones que aprovechan la gestión de vulnerabilidades basada en los riesgos obtienen numerosas ventajas, entre las que destacan:

• Mejora de la precisión: El uso de la inteligencia sobre amenazas y las capacidades de Threat Hunting permite a las organizaciones tomar decisiones de seguridad más rápidas, así como mejor fundamentadas y respaldadas por datos en la lucha contra los atacantes. Como resultado se obtiene un enfoque proactivo que permite al equipo de TI centrar el tiempo y los recursos en las vulnerabilidades más críticas dentro del entorno.
• Mayor visibilidad: La gestión de vulnerabilidades basada en los riesgos garantiza la visibilidad de todos los recursos en toda la superficie de ataque. Esto incluye recursos modernos, como dispositivos móviles y aplicaciones basadas en la nube, que a menudo no son compatibles con las herramientas tradicionales.
• Protección continua: En lugar de tomar instantáneas estáticas de datos vulnerables y proporcionar resultados obsoletos, una herramienta moderna de gestión de vulnerabilidades basada en los riesgos escanea y monitoriza el entorno de manera continua. Esto ayuda a las organizaciones a detectar vulnerabilidades incluso a medida que evolucionan.
• Aumento de la eficiencia: La gestión de vulnerabilidades basada en los riesgos utiliza tecnología avanzada para automatizar muchos aspectos del proceso de evaluación. Esto también permite a los equipos de TI agilizar la actividad recurrente y centrarse en la actividad de alto valor.

Cómo priorizar los riesgos de ciberseguridad cuando surgen

Si bien la mayoría de las organizaciones se enfrentan a una gran cantidad de vulnerabilidades dentro de su entorno, algunas de ellas representan un riesgo especialmente crítico para la organización. A continuación se enumeran cuatro consideraciones clave a la hora de priorizar las vulnerabilidades:

1. ¿Cuál sería un nivel de riesgo aceptable? Una organización debe establecer un umbral que determine el nivel de riesgo que la empresa está dispuesta a aceptar. Este umbral debe definirse en términos de recursos necesarios para corregir un evento, tiempo de inactividad potencial en caso de un ataque, el coste de los esfuerzos de resolución, el impacto del daño a la reputación y la posible pérdida de datos confidenciales o propiedad intelectual (PI).
2. ¿Qué probabilidad tiene el riesgo? Un sistema de gestión de vulnerabilidades basada en los riesgos aprovecha los ataques actuales y los datos históricos, así como los análisis y los modelos predictivos para determinar la probabilidad de un ataque para cada vulnerabilidad. Es importante señalar que este análisis solo puede llevarse a cabo de manera eficaz si una organización recopila de manera continua datos sobre el contexto de las amenazas y la vulnerabilidad.
3. ¿Qué grado de riesgo hay? La gravedad del riesgo se calcula multiplicando su coste financiero por su probabilidad. Esto da una idea clara de la magnitud de la amenaza.
4. ¿Qué grado de urgencia tiene el riesgo? Los adversarios pueden atacar en cualquier momento. Sin embargo, una herramienta de gestión de vulnerabilidades basada en los riesgos ayudará a la organización a comprender lo inminente que es un ataque. También ayudará al equipo a considerar otros contextos empresariales, como la disponibilidad del personal, la demanda de los clientes e incluso la época del año, que pueden influir en la respuesta de la organización.

Cómo funcionan las metodologías de puntuación de la evaluación de riesgos

La priorización de riesgos implica una evaluación inteligente de los mismos. El Sistema de puntuación de vulnerabilidades comunes (CVSS) es un estándar gratuito y abierto del sector que CrowdStrike y muchas otras organizaciones de ciberseguridad utilizan para evaluar y calcular la gravedad, el grado de urgencia y la probabilidad de una vulnerabilidad concreta. La puntuación base del CVSS varía de 0,0 a 10,0.

Además, la Base de datos nacional de vulnerabilidades (NVD) añade un nivel de gravedad a las puntuaciones del CVSS. La información de la NVD procede de la corporación MITRE y su marco de ciberseguridad, el MITRE ATT&CK Framework. Este marco correlaciona los grupos adversarios con las campañas, de modo que los equipos de seguridad puedan comprender mejor a los adversarios con los que tratan, evaluar sus defensas y reforzar la seguridad donde más importa.

Cómo crear un programa eficaz de gestión de vulnerabilidades basada en los riesgos

El mercado está plagado de soluciones de gestión de vulnerabilidades y todas ellas presumen de tener cualidades líderes. Al crear un programa eficaz de gestión de vulnerabilidades basada en los riesgos, es importante tener en cuenta lo siguiente:

Visibilidad en tiempo real:

• ¿Puede la herramienta de gestión de vulnerabilidades detectar vulnerabilidades de seguridad de manera inmediata?
• ¿Proporciona la herramienta visibilidad integral de todos los endpoints y recursos dentro del entorno de TI de la organización?
• ¿Ofrece la solución tecnología sin análisis para visualizar los datos e interactuar con ellos en tiempo real?
• ¿Ofrece la solución protección a los endpoints, tanto si están dentro como fuera de la red?

Rendimiento del endpoint:

• ¿Es la herramienta de gestión de vulnerabilidades basada en los riesgos una solución ligera que puede implementarse y actualizarse con poco impacto en el rendimiento de los endpoints?

Automatización:

• ¿Aprovecha la solución los últimos avances en IA, ML y automatización inteligente para agilizar la evaluación de riesgos cibernéticos y liberar recursos valiosos dentro del equipo de TI?

Integración:

• ¿Hasta qué punto se integra la solución en la arquitectura y las soluciones de ciberseguridad existentes de la organización?
• ¿Ofrece el proveedor integraciones incorporadas para acelerar las estrategias de aplicación de parches y corrección de vulnerabilidades?
• ¿Qué asistencia ofrece el proveedor para garantizar que el sistema se integra correctamente con otras herramientas y tecnologías?