La gestión de vulnerabilidades no se reduce a la puntuación: lo importante es cómo te afecta a ti

Las em­pre­sas en­fren­tan una can­ti­dad abru­ma­do­ra de vul­ne­ra­bi­li­da­des y aler­tas im­pul­sa­das por la au­to­ma­ti­za­ción y la in­te­li­gen­cia ar­ti­fi­cial, lo que pro­vo­ca la sa­tu­ra­ción de los equi­pos de se­gu­ri­dad. A pesar de este gran vo­lu­men de avi­sos, los ex­per­tos se­ña­lan que solo una pe­que­ña frac­ción de estos fa­llos es real­men­te ex­plo­ta­da por los ata­can­tes en si­tua­cio­nes reales. Por lo tanto, los es­pe­cia­lis­tas su­gie­ren no cun­dir ante el pá­ni­co del vo­lu­men y cen­trar­se en lo que los ad­ver­sa­rios real­men­te ata­can en lugar de in­ten­tar so­lu­cio­nar todo.

Las pun­tua­cio­nes teó­ri­cas y asig­na­das por los pro­vee­do­res, como las ca­li­fi­ca­cio­nes CVSS, a me­nu­do ge­ne­ran alar­mas in­ne­ce­sa­rias al otor­gar notas muy altas a fa­llos que qui­zás ni si­quie­ra estén pre­sen­tes en los sis­te­mas de la em­pre­sa o cuyas con­di­cio­nes de ex­plo­ta­ción no apli­can a su en­torno par­ti­cu­lar. Los crea­do­res de soft­wa­re se mue­ven entre in­cen­ti­vos con­tra­dic­to­rios al mo­men­to de ca­li­fi­car estos pro­ble­mas, lo que re­sul­ta en men­sa­jes con­fu­sos para las com­pa­ñías que in­ten­tan adi­vi­nar qué deben co­rre­gir con ur­gen­cia.

Para ali­viar la pre­sión, los pro­gra­mas de se­gu­ri­dad deben evo­lu­cio­nar hacia la ges­tión de ries­gos y la per­so­na­li­za­ción, to­man­do en cuen­ta las con­di­cio­nes reales de sus pro­pias in­fra­es­truc­tu­ras y las he­rra­mien­tas de au­to­ma­ti­za­ción dis­po­ni­bles. El uso de lis­tas de vul­ne­ra­bi­li­da­des co­no­ci­das y con­tro­les de mi­ti­ga­ción ya exis­ten­tes per­mi­te a las or­ga­ni­za­cio­nes des­car­tar mu­chos avi­sos y cen­trar­se úni­ca­men­te en lo que real­men­te afec­ta a sus ope­ra­cio­nes es­pe­cí­fi­cas.