El mundo en que vivimos El Invitado Experto La invitada experta: Vanessa Alvarez «El talón de Aquiles-...

La invitada experta: Vanessa Alvarez «El talón de Aquiles- Estrategias para el parcheo de Vulnerabilidades»

-

Un nuevo post en la sección «El invitado experto» donde invitamos a diferentes especialistas para que nos expliquen temas relevantes en el mundo de los negocios de las empresas tecnológicas. Hoy Vanessa Álvarez explica uno de los riesgos de las empresas, las vulnerabilidades. Tenéis la bio y datos de contacto al final del artículo. 

¿Qué es una vulnerabilidad en el entorno de ciber seguridad?

  • Debilidad en un sistema de información, procedimientos de seguridad del sistema, controles internos o implementación que podrían ser explotados o desencadenados por una amenaza (NIST). Un hacker, conociendo este error podría explotarlo y hacerse con el control del sistema o extraer información. Las vulnerabilidades se pueden encontrar tanto a nivel de capa de red como a nivel de aplicación.  

¿A qué cantidad de vulnerabilidades nos enfrentamos?

Consecuencias de ejecutar una vulnerabilidad por parte de un atacante:

  • El 60% de las brechas de datos se produjeron a raíz de una vulnerabilidad donde existía un parche o solución disponible, pero que no fue implementado.
  • El 53% de las vulnerabilidades (Gartner) que llevan a  ataques de Ransomware tienen un nivel de criticidad menor de 8, con lo que no suelen estar entre las vulnerabilidades críticas y por tanto, no en el radar de solución urgente.

Algunos ejemplos de Ciber ataques perpetrados a través de una vulnerabilidad:

  • SolarWinds, aunque principalmente fue un ataque de cadena de suministro que ha afectado a más de 18.000 compañías en todo el mundo, los investigadores han revelado que también se explotó una vulnerabilidad en una segunda fase del ataque.
  • Ataque de WannaCry, fue un ataque de ransomware que afectó a un gran número de empresas españolas y se ejecutó a través de la explotación de una vulnerabilidad de Windows.
  • Equifax Bank, una de las brechas de datos más grandes afectando a casi la mitad de la población de US. Las acciones cayeron un 31% el día de la publicación, erosionando 5 Billones de dólares de capitalización bursátil y tuvo que hacer frente a una multa de 700 Millones de dólares.
  • First American Bank en US, una vulnerabilidad no solventada durante años en la página web de acceso de sus clientes, provocó una de las brechas de datos más grandes hasta el momento, con más de 16 años de información sensible de clientes al descubierto.
  • Ticketmaster, el chatbot ubicado en su página web de pagos y desarrollado por un tercero, contenía una vulnerabilidad que fue explotada por un atacante. Se filtraron más de 600.000 tarjetas de crédito de clientes. La sanción impuesta fue de 1,4 Millones de euros.

Motivos por los que existen tantas vulnerabilidades  sin solventar en las empresas incrementando el nivel de riesgo:

Según los equipos de operaciones:

  • Volumen de vulnerabilidades al que se enfrentan y falta de recursos para estar al día en la aplicación de los parches o soluciones.
  • Hay una dificultad en priorizar lo que debe ser parcheado o solucionado, debido a la falta de visibilidad de todos los activos afectados así como de la relevancia de esos activos para el negocio en cuestión.
  • La coordinación con otras áreas suele provocar una media de 12 días extras antes de que se pueda desplegar la solución, incrementando los riesgos y el coste.

Según las unidades de negocio:

  • El parcheo o solución de vulnerabilidades requiere invertir tiempo y recursos que no generan valor para el negocio, ya que además puede dejarlo sin servicio.
  • La falta de estrategias en el proceso de gestión de vulnerabilidades ha repercutido en un incremento de costes en el proceso del 21% anualmente en grandes organizaciones (Ponemon Institute).

Por tanto, las estrategias deberían considerar los siguientes factores para mejorar los procesos de gestión de vulnerabilidades:

  • Automatizar el proceso, para aumentar la eficiencia –herramientas como SOAR (Security  Orchestration, Automation and Response) pueden ayudar en este proceso.
  • Incrementar la visualización de todos los activos (superficie de ataque) y las vulnerabilidades asociadas
  • Establecer criterios de priorización de parcheo de vulnerabilidades que incluyan la criticidad del activo para el negocio.
  • Evaluar la eficiencia vs la cobertura de parcheado de vulnerabilidades.
  • Concienciar a las unidades de negocio de la importancia de este proceso para el bienestar la organización teniendo en cuenta la repercusión en la reputación de la compañía en caso de ciber ataque.

Disclaimer: Este artículo recoge mis opiniones y no hace referencia a mi posición actual o anteriores. No tengo ninguna relación comercial con ninguna empresa cuyas acciones se mencionan en este artículo.

Vanessa Alvarez cuenta con más de 15 años de experiencia en estrategia tecnológica,ciberseguridad e innovación tanto en el sector tecnológico como financiero. Ingeniera superior de telecomunicaciones, MBA por IE y especialización en ciberseguridad por SANS Institute y certificación por el NIST. 

Linkedin: Vanessa Alvarez Colina

En la web de MultiVersial tienes los artículos destacados, en la newsletter tienes toda la actualidad:

Deja un comentario

Latest news

Hay 3 tipos de agotamiento en el trabajo

Cuando estamos agotados, no tenemos la energía emocional para invertir en el trabajo, nos distanciamos de colegas y clientes y, como resultado, podemos sentirnos incompetentes.

Hermanos Winklevoss han surfeado la ola cripto mejor que nadie

Los gemelos Winklevoss de ser los "malos" de la historia de Facebook a ser los adelantados en Bitcoin

La expansión de producto de Peloton necesaria para cumplir expectativas

Peloton está llamada a ser la empresa tecnológica líder del fitness. Para ello la estrategia de producto tiene que ir conquistando nicho tras nicho.

Diferencias de trabajar en una startup y una gran corporación

La startup y la gran empresa son como el día y la noche. Has de encontrar tu momento optimo para sacar el mayor partido a cada una de ellas.

Las tres olas de internet en base a sus modelos de negocio

Los modelos de negocio digitales han evolucionado en 3 olas diferentes desde 1996 y cada una es totalmente diferente de la anterior.

3 respuestas a preguntas para presentarte en una comunidad

3 preguntas para abrir una relación de networking ¿Qué está siendo lo mejor de tu actual rol? ¿Cuál crees que es tu mayor habilidad? ¿Qué libro / Podcast / blog me recomendarías leer?

Must read

You might also likeRELATED
Recommended to you

eBook gratis sobre Google (Alphabet)

 

Estamos compartiendo un análisis exhaustivo sobre Google que cubre:

1- El negocio actual de Alphabet

2- La filosofía al construir producto digital

3- La cultura y la gestión de equipos de alto rendimiento

Si estás interesado suscríbete a MultiVersial y te lo hacemos llegar.