La gestión de vulnerabilidades (VM) ha sido durante mucho tiempo la piedra angular de la ciberseguridad organizacional. Casi tan antiguo como la propia disciplina de la ciberseguridad, su objetivo es ayudar a las organizaciones a identificar y abordar posibles problemas de seguridad antes de que se conviertan en problemas graves. Sin embargo, en los últimos años, las limitaciones de este enfoque se han vuelto cada vez más evidentes.
En esencia, los procesos de gestión de vulnerabilidades siguen siendo esenciales para identificar y abordar las debilidades. Pero a medida que pasa el tiempo y evolucionan las vías de ataque, este enfoque está empezando a mostrar su edad. En un informe reciente, Cómo convertir la gestión de vulnerabilidades en gestión de exposición (Gartner, How to Grow Vulnerability Management Into Exposure Management, 8 de noviembre de 2024, Mitchell Schneider et al.), creemos que Gartner® aborda este punto con precisión y demuestra cómo las organizaciones pueden (y deben) pasar de una estrategia centrada en la vulnerabilidad a una estrategia más amplia. Marco de gestión de exposición (EM). Creemos que es más que una lectura que vale la pena y en este artículo analizaremos por qué la gestión de vulnerabilidades se queda corta, por qué es tan crucial incorporar el contexto empresarial en las operaciones de seguridad y cómo las organizaciones pueden involucrar mejor al liderazgo con métricas que demuestren resultados tangibles. valor.
Para empezar, la gestión tradicional de vulnerabilidades es limitada
No sorprende a nadie que las soluciones tradicionales de gestión de vulnerabilidades tengan dificultades para mantenerse al día con los desafíos de la ciberseguridad actual. Hay algunas razones específicas para esto; La gestión de la vulnerabilidad es un desafío debido a la amplia gama de partes interesadas que la impactan y interactúan con ella. Otro desafío clave es simplemente el gran volumen de vulnerabilidades identificadas. Sin una forma clara de clasificarlas, las soluciones de VM tradicionales dejan a las organizaciones de seguridad con listas abrumadoramente largas de vulnerabilidades y sin una hoja de ruta clara para manejarlas.
Las herramientas de gestión de vulnerabilidades basadas en riesgos (RBVM) priorizan las soluciones en función de la probabilidad de que afecten su entorno o contexto, pero incluso con estas herramientas, no es suficiente para hacer una mella sustancial en el volumen de exposiciones que necesitará. para abordar.
La fatiga operativa nacida de esta avalancha de vulnerabilidades sin priorizar a menudo resulta en que se pasen por alto vulnerabilidades críticas. Esto, mientras que los problemas menos urgentes consumen tiempo y recursos valiosos. También puede conducir a una “parálisis del análisis”, cuando los equipos simplemente quedan paralizados por la gran cantidad de problemas que enfrentan, incapaces de decidir por dónde empezar o cómo actuar.
Las máquinas virtuales tradicionales también fallan al no incorporar el contexto empresarial. Esto puede llevar a centrarse en los problemas técnicos sin considerar cómo las vulnerabilidades asociadas podrían afectar las funciones comerciales críticas. De manera similar a la parálisis del análisis, esta desalineación conduce a un uso ineficiente de los recursos y deja a las organizaciones innecesariamente vulnerables.
Por último, las evaluaciones de vulnerabilidad basadas en el cumplimiento se centran hoy más en cumplir los requisitos normativos que en mejorar la postura de seguridad. Si bien estas evaluaciones basadas en máquinas virtuales pueden satisfacer a los auditores, rara vez abordan las amenazas del mundo real que enfrentan las organizaciones.
La salsa secreta: contexto empresarial
Un paso crucial en el cambio hacia la gestión de la exposición implica agregar contexto empresarial a cada operación de seguridad relevante. Esto es esencial para alinear los esfuerzos de ciberseguridad con los objetivos estratégicos de la organización. Pero también es necesario para que podamos cambiar la ciberseguridad lejos de ser percibido como un ejercicio técnico y un centro de costos impulsado por la prevención y hacia siendo un facilitador estratégico y de ingresos. Al hacerlo, podemos fomentar una toma de decisiones más informada en el ámbito de la seguridad, al tiempo que reducimos la resistencia de las partes interesadas ajenas a la seguridad.
Alinear los objetivos de seguridad con las prioridades empresariales también minimiza la fricción. En lugar de centrarse únicamente en los riesgos técnicos, los equipos de seguridad pueden abordar cuestiones como qué activos son más críticos para las operaciones y la reputación. Este nivel de claridad ayuda a garantizar que los recursos escasos se dirijan a los riesgos más importantes. (¿Quiere saber más sobre cómo concentrarse en los activos críticos para el negocio? Consulte nuestro artículo reciente para saber cómo XM Cyber ayuda a identificar los activos que son absolutamente esenciales para el funcionamiento de su negocio y protegerlos de riesgos de alto impacto).
Es más, los esfuerzos tradicionales de seguridad a menudo fracasan porque formulan las preguntas equivocadas. La pregunta equivocada es: “¿Cómo elimino esta vulnerabilidad… y la siguiente… y la siguiente?” La pregunta correcta sería “¿Cómo afecta esta vulnerabilidad a la rentabilidad/adopción de productos/flujos de ingresos/nombre del resultado de su negocio? ¿Deberíamos siquiera abordarlo?” Al hacer las preguntas correctas e incorporar el contexto empresarial a la seguridad, transformamos la seguridad de un proceso reactivo a una estrategia proactiva. El cambio a la gestión de la exposición cierra la evidente brecha entre nuestros equipos técnicos y los líderes empresariales porque nos ayuda a demostrar que las iniciativas de seguridad abordan los riesgos más importantes.
Comprender la superficie de ataque actual
No es ningún secreto que la superficie de ataque se ha expandido mucho más allá de los perímetros de TI tradicionales y que esto introduce riesgos y desafíos más amplios para las organizaciones de seguridad. La era de los sistemas y redes “solo” locales ya pasó: la superficie de ataque actual abarca plataformas SaaS, dispositivos IoT, fuerzas de trabajo híbridas y remotas, cadenas de suministro complejas, redes sociales, plataformas de terceros, la web oscura y la cara al público. activos y mucho, mucho más.
La gestión de las superficies de ataque puede resultar abrumadora para los líderes de seguridad y riesgos, especialmente cuando muchas de ellas todavía no se conocen bien. Para abordar estos desafíos, los gerentes de operaciones de seguridad deben priorizar sus esfuerzos identificando superficies de ataque que sean de fácil acceso o que contengan objetivos de alto valor. Y es por eso que pasar de la gestión de la vulnerabilidad a la gestión de la exposición es un paso fundamental para que esto suceda.
Esta transición comienza con la mejora de la visibilidad en todas las superficies de ataque dentro de la infraestructura digital. Los pasos clave incluyen identificar qué superficies de ataque incluir en el alcance del programa, realizar un análisis de brechas para descubrir áreas donde las tecnologías existentes se quedan cortas y utilizar esta información para definir los requisitos para seleccionar a los proveedores adecuados. Estas acciones sientan las bases para una gestión eficaz de la superficie de ataque.
Involucrar al liderazgo con métricas
Finalmente, en el clima cibernético ridículamente complejo en el que operamos, encontrar un lenguaje común para interactuar con el liderazgo organizacional es crucial para la transición de la gestión de la vulnerabilidad a la gestión de la exposición.
Las métricas son uno de esos lenguajes. Es la mejor manera de alinear los esfuerzos de ciberseguridad con los objetivos comerciales y demostrar el valor tangible de la gestión de la exposición. La clave aquí es garantizar que los ejecutivos de alto nivel, que viven y respiran los resultados comerciales, obtengan métricas impulsadas por el negocio.
Las métricas que reflejan conocimientos impulsados por el negocio (como una reducción de la exposición de la superficie de ataque, una disminución del riesgo para los activos críticos y cualquier eficiencia operativa obtenida), cierran la brecha entre las medidas técnicas de ciberseguridad y los objetivos comerciales. Los resultados validados, como simulaciones de escenarios de ataque o reducciones demostrables en el potencial de movimiento lateral, son otra forma de ofrecer evidencia concreta de éxito y aumentar la confianza del liderazgo.
Como se mencionó anteriormente, cuanto más estrechamente podamos vincular las operaciones de seguridad directamente con los resultados comerciales, más probable será que los líderes vean la ciberseguridad como un facilitador de negocios en lugar de un centro de costos. La comunicación eficaz de las métricas garantiza la aceptación, la asignación de recursos y el apoyo continuo para la gestión de la exposición a los turnos. (Para obtener más información sobre cómo optimizar la presentación de informes a la Junta Directiva o al liderazgo, echa un vistazo a este libro electrónico.)
La conclusión
El momento de pasar de la gestión de vulnerabilidades a la gestión de exposiciones no es ahora, es ayer. La VM tradicional hace que las organizaciones tengan dificultades para priorizar lo que realmente importa y corren el riesgo de desperdiciar recursos valiosos. El cambio hacia la gestión de la exposición es más que una simple evolución tecnológica natural. Es un cambio de mentalidad que permite a las empresas centrarse en proteger lo que más importa: activos críticos, continuidad operativa y resultados comerciales estratégicos. Esta transición no se trata sólo de abordar mejor las vulnerabilidades, sino de crear una defensa estratégica y resistente que impulse el éxito a largo plazo.
Con Exposure Management, las organizaciones pueden abordar mejor lo que realmente importa: salvaguardar nuestros activos críticos, minimizar las interrupciones operativas y alinear nuestros esfuerzos de ciberseguridad con las prioridades comerciales.
Nota: Este artículo fue escrito y contribuido de manera experta por Shay Siksik, vicepresidente senior de experiencia del cliente en XM Cyber.
Gartner, Inc. Cómo convertir la gestión de vulnerabilidades en gestión de exposición. Mitchell Schneider, Jeremy D’Hoinne, etl. 8 de noviembre de 2024.
GARTNER es una marca registrada y una marca de servicio de Gartner, Inc. y/o sus filiales en EE. UU. e internacionalmente y se utiliza en este documento con permiso. Reservados todos los derechos.
About the Author
