Vulnerability Backlogs Are an Ownership Problem

Mu­chas em­pre­sas con una gran acu­mu­la­ción de vul­ne­ra­bi­li­da­des sue­len cul­par a la de­tec­ción y optan por ad­qui­rir he­rra­mien­tas de es­ca­neo más avan­za­das. Sin em­bar­go, el texto se­ña­la que esto es un error de diag­nós­ti­co, ya que la ca­pa­ci­dad de de­tec­ción y la ca­pa­ci­dad de re­me­dia­ción ope­ran de forma in­de­pen­dien­te. Mien­tras que un es­cá­ner puede in­cre­men­tar rá­pi­da­men­te el nú­me­ro de ha­llaz­gos des­cu­bier­tos, la co­rrec­ción de­pen­de de fac­to­res li­mi­tan­tes como las horas de in­ge­nie­ría, las ven­ta­nas de cam­bio y la to­le­ran­cia del ne­go­cio al tiem­po de inac­ti­vi­dad, los cua­les no me­jo­ran sim­ple­men­te por ac­tua­li­zar una li­cen­cia de soft­wa­re.

En reali­dad, una acu­mu­la­ción de fa­llos re­fle­ja un pro­ble­ma de go­ber­nan­za y de falta de asig­na­ción de res­pon­sa­bi­li­da­des. Para que una vul­ne­ra­bi­li­dad pueda ser so­lu­cio­na­da, es ne­ce­sa­rio que al­guien sepa que el ac­ti­vo exis­te, sea res­pon­sa­ble de él, tenga la ca­pa­ci­dad y el tiem­po para mo­di­fi­car­lo, y cuen­te con un mo­ti­vo para ha­cer­lo antes que otras ta­reas. El texto de­ta­lla que los in­con­ve­nien­tes sur­gen cuan­do un re­cur­so ca­re­ce de dueño, cuan­do el res­pon­sa­ble no tiene la au­to­ri­dad para ac­tuar, cuan­do le falta ca­pa­ci­dad ope­ra­ti­va al com­pe­tir con la en­tre­ga de nue­vas fun­cio­nes, o cuan­do no exis­ten con­se­cuen­cias por in­cum­plir los pla­zos de re­me­dia­ción.