La gesti\u00f3n de vulnerabilidades (VM) ha sido durante mucho tiempo la piedra angular de la ciberseguridad organizacional. Casi tan antiguo como la propia disciplina de la ciberseguridad, su objetivo es ayudar a las organizaciones a identificar y abordar posibles problemas de seguridad antes de que se conviertan en problemas graves. Sin embargo, en los \u00faltimos a\u00f1os, las limitaciones de este enfoque se han vuelto cada vez m\u00e1s evidentes. <\/p>\n
En esencia, los procesos de gesti\u00f3n de vulnerabilidades siguen siendo esenciales para identificar y abordar las debilidades. Pero a medida que pasa el tiempo y evolucionan las v\u00edas de ataque, este enfoque est\u00e1 empezando a mostrar su edad. En un informe reciente, C\u00f3mo convertir la gesti\u00f3n de vulnerabilidades en gesti\u00f3n de exposici\u00f3n<\/a> (Gartner, How to Grow Vulnerability Management Into Exposure Management, 8 de noviembre de 2024, Mitchell Schneider et al.), creemos que Gartner\u00ae aborda este punto con precisi\u00f3n y demuestra c\u00f3mo las organizaciones pueden (y deben) pasar de una estrategia centrada en la vulnerabilidad a una estrategia m\u00e1s amplia. Marco de gesti\u00f3n de exposici\u00f3n (EM). Creemos que es m\u00e1s que una lectura que vale la pena y en este art\u00edculo analizaremos por qu\u00e9 la gesti\u00f3n de vulnerabilidades se queda corta, por qu\u00e9 es tan crucial incorporar el contexto empresarial en las operaciones de seguridad y c\u00f3mo las organizaciones pueden involucrar mejor al liderazgo con m\u00e9tricas que demuestren resultados tangibles. valor.<\/p>\n No sorprende a nadie que las soluciones tradicionales de gesti\u00f3n de vulnerabilidades tengan dificultades para mantenerse al d\u00eda con los desaf\u00edos de la ciberseguridad actual. Hay algunas razones espec\u00edficas para esto; La gesti\u00f3n de la vulnerabilidad es un desaf\u00edo debido a la amplia gama de partes interesadas que la impactan y interact\u00faan con ella. Otro desaf\u00edo clave es simplemente el gran volumen de vulnerabilidades identificadas. Sin una forma clara de clasificarlas, las soluciones de VM tradicionales dejan a las organizaciones de seguridad con listas abrumadoramente largas de vulnerabilidades y sin una hoja de ruta clara para manejarlas. <\/p>\n Las herramientas de gesti\u00f3n de vulnerabilidades basadas en riesgos (RBVM) priorizan las soluciones en funci\u00f3n de la probabilidad de que afecten su entorno o contexto, pero incluso con estas herramientas, no es suficiente para hacer una mella sustancial en el volumen de exposiciones que necesitar\u00e1. para abordar. <\/p>\n La fatiga operativa nacida de esta avalancha de vulnerabilidades sin priorizar a menudo resulta en que se pasen por alto vulnerabilidades cr\u00edticas. Esto, mientras que los problemas menos urgentes consumen tiempo y recursos valiosos. Tambi\u00e9n puede conducir a una “par\u00e1lisis del an\u00e1lisis”, cuando los equipos simplemente quedan paralizados por la gran cantidad de problemas que enfrentan, incapaces de decidir por d\u00f3nde empezar o c\u00f3mo actuar. <\/p>\n Las m\u00e1quinas virtuales tradicionales tambi\u00e9n fallan al no incorporar el contexto empresarial. Esto puede llevar a centrarse en los problemas t\u00e9cnicos sin considerar c\u00f3mo las vulnerabilidades asociadas podr\u00edan afectar las funciones comerciales cr\u00edticas. De manera similar a la par\u00e1lisis del an\u00e1lisis, esta desalineaci\u00f3n conduce a un uso ineficiente de los recursos y deja a las organizaciones innecesariamente vulnerables. <\/p>\n Por \u00faltimo, las evaluaciones de vulnerabilidad basadas en el cumplimiento se centran hoy m\u00e1s en cumplir los requisitos normativos que en mejorar la postura de seguridad. Si bien estas evaluaciones basadas en m\u00e1quinas virtuales pueden satisfacer a los auditores, rara vez abordan las amenazas del mundo real que enfrentan las organizaciones. <\/p>\n Un paso crucial en el cambio hacia la gesti\u00f3n de la exposici\u00f3n implica agregar contexto empresarial a cada operaci\u00f3n de seguridad relevante. Esto es esencial para alinear los esfuerzos de ciberseguridad con los objetivos estrat\u00e9gicos de la organizaci\u00f3n. Pero tambi\u00e9n es necesario para que podamos cambiar la ciberseguridad lejos<\/em> de ser percibido como un ejercicio t\u00e9cnico y un centro de costos impulsado por la prevenci\u00f3n y hacia<\/em> siendo un facilitador estrat\u00e9gico y de ingresos. Al hacerlo, podemos fomentar una toma de decisiones m\u00e1s informada en el \u00e1mbito de la seguridad, al tiempo que reducimos la resistencia de las partes interesadas ajenas a la seguridad. <\/p>\n Alinear los objetivos de seguridad con las prioridades empresariales tambi\u00e9n minimiza la fricci\u00f3n. En lugar de centrarse \u00fanicamente en los riesgos t\u00e9cnicos, los equipos de seguridad pueden abordar cuestiones como qu\u00e9 activos son m\u00e1s cr\u00edticos para las operaciones y la reputaci\u00f3n. Este nivel de claridad ayuda a garantizar que los recursos escasos se dirijan a los riesgos m\u00e1s importantes. (\u00bfQuiere saber m\u00e1s sobre c\u00f3mo concentrarse en los activos cr\u00edticos para el negocio? Consulte nuestro art\u00edculo reciente para saber c\u00f3mo XM Cyber \u200b\u200bayuda a identificar los activos que son absolutamente esenciales para el funcionamiento de su negocio y protegerlos de riesgos de alto impacto).<\/p>\n Es m\u00e1s, los esfuerzos tradicionales de seguridad a menudo fracasan porque formulan las preguntas equivocadas. La pregunta equivocada es: “\u00bfC\u00f3mo elimino esta vulnerabilidad… y la siguiente… y la siguiente?” La pregunta correcta ser\u00eda “\u00bfC\u00f3mo afecta esta vulnerabilidad a la rentabilidad\/adopci\u00f3n de productos\/flujos de ingresos\/nombre del resultado de su negocio? \u00bfDeber\u00edamos siquiera abordarlo?” Al hacer las preguntas correctas e incorporar el contexto empresarial a la seguridad, transformamos la seguridad de un proceso reactivo a una estrategia proactiva. El cambio a la gesti\u00f3n de la exposici\u00f3n cierra la evidente brecha entre nuestros equipos t\u00e9cnicos y los l\u00edderes empresariales porque nos ayuda a demostrar que las iniciativas de seguridad abordan los riesgos m\u00e1s importantes.<\/p>\n No es ning\u00fan secreto que la superficie de ataque se ha expandido mucho m\u00e1s all\u00e1 de los per\u00edmetros de TI tradicionales y que esto introduce riesgos y desaf\u00edos m\u00e1s amplios para las organizaciones de seguridad. La era de los sistemas y redes “solo” locales ya pas\u00f3: la superficie de ataque actual abarca plataformas SaaS, dispositivos IoT, fuerzas de trabajo h\u00edbridas y remotas, cadenas de suministro complejas, redes sociales, plataformas de terceros, la web oscura y la cara al p\u00fablico. activos y mucho, mucho m\u00e1s. <\/p>\n La gesti\u00f3n de las superficies de ataque puede resultar abrumadora para los l\u00edderes de seguridad y riesgos, especialmente cuando muchas de ellas todav\u00eda no se conocen bien. Para abordar estos desaf\u00edos, los gerentes de operaciones de seguridad deben priorizar sus esfuerzos identificando superficies de ataque que sean de f\u00e1cil acceso o que contengan objetivos de alto valor. Y es por eso que pasar de la gesti\u00f3n de la vulnerabilidad a la gesti\u00f3n de la exposici\u00f3n es un paso fundamental para que esto suceda. <\/p>\n Esta transici\u00f3n comienza con la mejora de la visibilidad en todas las superficies de ataque dentro de la infraestructura digital. Los pasos clave incluyen identificar qu\u00e9 superficies de ataque incluir en el alcance del programa, realizar un an\u00e1lisis de brechas para descubrir \u00e1reas donde las tecnolog\u00edas existentes se quedan cortas y utilizar esta informaci\u00f3n para definir los requisitos para seleccionar a los proveedores adecuados. Estas acciones sientan las bases para una gesti\u00f3n eficaz de la superficie de ataque.<\/p>\n Finalmente, en el clima cibern\u00e9tico rid\u00edculamente complejo en el que operamos, encontrar un lenguaje com\u00fan para interactuar con el liderazgo organizacional es crucial para la transici\u00f3n de la gesti\u00f3n de la vulnerabilidad a la gesti\u00f3n de la exposici\u00f3n. <\/p>\n Las m\u00e9tricas son uno de esos lenguajes. Es la mejor manera de alinear los esfuerzos de ciberseguridad con los objetivos comerciales y demostrar el valor tangible de la gesti\u00f3n de la exposici\u00f3n. La clave aqu\u00ed es garantizar que los ejecutivos de alto nivel, que viven y respiran los resultados comerciales, obtengan m\u00e9tricas impulsadas por el negocio.<\/p>\n Las m\u00e9tricas que reflejan conocimientos impulsados \u200b\u200bpor el negocio (como una reducci\u00f3n de la exposici\u00f3n de la superficie de ataque, una disminuci\u00f3n del riesgo para los activos cr\u00edticos y cualquier eficiencia operativa obtenida), cierran la brecha entre las medidas t\u00e9cnicas de ciberseguridad y los objetivos comerciales. Los resultados validados, como simulaciones de escenarios de ataque o reducciones demostrables en el potencial de movimiento lateral, son otra forma de ofrecer evidencia concreta de \u00e9xito y aumentar la confianza del liderazgo. <\/p>\n Como se mencion\u00f3 anteriormente, cuanto m\u00e1s estrechamente podamos vincular las operaciones de seguridad directamente con los resultados comerciales, m\u00e1s probable ser\u00e1 que los l\u00edderes vean la ciberseguridad como un facilitador de negocios en lugar de un centro de costos. La comunicaci\u00f3n eficaz de las m\u00e9tricas garantiza la aceptaci\u00f3n, la asignaci\u00f3n de recursos y el apoyo continuo para la gesti\u00f3n de la exposici\u00f3n a los turnos. (Para obtener m\u00e1s informaci\u00f3n sobre c\u00f3mo optimizar la presentaci\u00f3n de informes a la Junta Directiva o al liderazgo, echa un vistazo a este libro electr\u00f3nico<\/a>.) <\/p>\n![\"Gesti\u00f3n](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/12\/\u00bfQuiere-convertir-la-gestion-de-vulnerabilidades-en-gestion-de-exposicion.png\" "\\"Gesti\u00f3n")
<\/a><\/div>\nPara empezar, la gesti\u00f3n tradicional de vulnerabilidades es limitada<\/strong><\/h2>\n
La salsa secreta: contexto empresarial <\/strong><\/h2>\n
Comprender la superficie de ataque actual <\/strong><\/h2>\n
Involucrar al liderazgo con m\u00e9tricas<\/strong><\/h2>\n