La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) está dejando de publicar material semanal de recopilación de vulnerabilidades, lo que refleja un mayor énfasis en ayudar a las organizaciones a centrarse en las fallas con mayor probabilidad de generar un riesgo operativo significativo.
El cambio se alinea con las recomendaciones de larga data de CISA y otras autoridades de seguridad: la gestión de vulnerabilidades no debe basarse únicamente en el volumen de fallas divulgadas recientemente ni en las puntuaciones de gravedad de forma aislada. En su lugar, se recomienda a los defensores considerar factores como la explotación activa, la exposición de los sistemas afectados, la disponibilidad de mitigaciones y el posible impacto empresarial de una vulneración.
Priorizar las vulnerabilidades que importan
Los equipos de seguridad se enfrentan habitualmente a una gran cantidad de divulgaciones relacionadas con sistemas operativos, aplicaciones, equipos de red, servicios en la nube y productos de terceros. Tratar cada aviso como igualmente urgente puede consumir recursos limitados de aplicación de parches e ingeniería, al tiempo que deja insuficientemente protegidos los sistemas de mayor riesgo.
Un enfoque basado en riesgos puede ayudar a las organizaciones a identificar qué problemas justifican una acción inmediata. Las vulnerabilidades que se sabe que están siendo explotadas, afectan a activos expuestos a Internet, proporcionan a un atacante privilegios elevados o podrían interrumpir servicios críticos generalmente merecen atención antes que los problemas menos expuestos o de menor impacto.
- Identifique los activos accesibles desde Internet o que respaldan funciones críticas.
- Realice un seguimiento de si una vulnerabilidad está siendo explotada o cuenta con código de explotación público y fiable.
- Considere las consecuencias empresariales y operativas de un ataque exitoso.
- Aplique los parches o mitigaciones de los proveedores según el riesgo priorizado.
- Utilice controles compensatorios cuando no sea posible aplicar parches de inmediato.
Implicaciones para los defensores
El fin de los resúmenes semanales rutinarios no reduce la necesidad de que las organizaciones supervisen la información sobre vulnerabilidades. Más bien, pone mayor énfasis en integrar la inteligencia de amenazas, los datos de inventario de activos y la gestión de la exposición en las decisiones sobre aplicación de parches.
Las organizaciones también pueden beneficiarse de mantener procedimientos de escalamiento claros para las vulnerabilidades de alta prioridad y de validar periódicamente que se completaron las acciones de remediación. Al concentrarse en las vulnerabilidades con mayor probabilidad de utilizarse en ataques del mundo real, los equipos de seguridad pueden dirigir su atención a reducir el riesgo práctico en lugar de simplemente reducir la cantidad de hallazgos abiertos.