Fundamentos de ciberseguridad

FUNDAMENTOS DE CIBERSEGURIDAD

ACTIVIDAD DE RECUPERACIÓN

PROCESO DE GESTIÓN DE VULNERABILIDADES

El presente trabajo se basa en:

• Mi experiencia en áreas de Seguridad de la Información
• Contenido de los cursos de la Maestría
• Buenas prácticas internacionales

DESARROLLO DE LA ACTIVIDAD

I-        Organización

Para una adecuada gestión de vulnerabilidades a nivel macro, se recomienda una estructura jerárquica acorde a las buenas prácticas y marcos de ciberseguridad internaciones (ISO, NIST). Según esto, la distribución del personal involucrado en la gestión de vulnerabilidades debe estar distribuida en 03 líneas de defensa para la ciberseguridad:

1ra línea: TI

• Encargada de las tareas operativas relacionadas con los sistemas.
• Estadísticas de desempeño.

2da línea: Seguridad de la Información. Riesgos, Continuidad del Negocio, Fraudes.

• Gestión de riesgos.
• Definición de políticas y KPIs (entre ellos gestión de vulnerabilidades)
• Evaluaciones o revisiones de cumplimiento de políticas.
• Reporte a Alta Dirección

3ra línea: Auditoría Interna

• Evaluar y proporcionar aseguramiento sobre la efectividad de las disposiciones de la 1ra y 2da línea.

Otras áreas comunes de apoyo, y generalmente tercerizadas, son el NOC y el SOC, que están continuamente monitoreando la performance y seguridad de los equipos, enlaces y aplicaciones de la organización para detectar ya sea averías, anomalías o intentos de ataques cibernéticos.

Las áreas mencionadas hasta el momento deberían estar organizadas según el esquema propuesto en la siguiente figura:

[pic 1]

Figura 1- Organigrama propuesto  en capas de defensa

Un área, relativamente nueva, a comparación de las antes mencionadas, que se recomienda es la de Seguridad Informática (o TISO por sus siglas Technological Information Security Office) que tiene como funciones realizar tareas operativas de seguridad de la información, por ejemplo administrar herramientas como DLP, SIEM, CASB, etc. El objetivo de esta recomendación es que Seguridad de la Información se encargue únicamente de temas de gobierno (lineamientos, políticas, indicadores, directrices de seguridad, etc.)

Con base en una adecuada segregación de funciones, podemos hablar ahora de los procesos involucrados en la gestión de vulnerabilidades.

II-        Procesos Involucrados

Un adecuado proceso de Gestión de Vulnerabilidades debe alimentarse de los siguientes procesos:

• Proceso de Gestión de Parches
• Proceso de Gestión de Incidentes
• Proceso de Gestión de Riesgos
• Proceso de Ethical Hacking

II.1-        Proceso de Gestión de Parches

Para este proceso se propone el siguiente esquema en el que se detallan las actividades involucradas y el área ejecutora respectiva:

[pic 2]

Figura 2- Diagrama de flujo propuesto para la Gestión de Parches

Control de refuerzo: Debido a la criticidad de este proceso, se propone a manera de control de la segunda línea de defensa (Seguridad de la Información) un monitoreo de parches, donde se evalúe cada 3 meses (frecuencia recomendada) los parches desplegados.

Nota: En el esquema anterior se considera que únicamente el despliegue no es satisfactorio debido a que no se han instalado parches requisitos previos, por lo que el plan de acción incluiría la instalación de dichos requisitos y el parche en cuestión siguiendo nuevamente el flujo.

Herramienta a considerar

Se recomienda evaluar la implementación de una herramienta de Virtual Patching pues permite estar protegidos ante:

• Ataques de Zero Day
• Tiempo entre la liberación de un parche hasta la implementación efectiva en la organización.

[pic 3]

Figura 3- Ventaja de virtual patching

II.2-        Proceso de Gestión de Incidentes

Este proceso involucran a:

• Primera línea de defensa: TI, SOC, NOC
• Equipo híbrido: TISO (Technological Information Security Office) encargado de la seguridad informática de la organización. Sería el área encargada de operar las herramientas de seguridad cmo por ejm antivirus, antimalware, SIEM,  DLP, etc.
• Segunda línea de defensa: Seguridad de la información

A continuación se muestran las funciones e interrelación de las áreas mencionadas en la Gestión de Incidentes:

[pic 4]

Figura 4- Diagrama de flujo propuesto para la Gestión de Incidentes

II.3-        Proceso de Gestión de Riesgos

A un nivel macro, toda empresa está expuesta a los siguientes tipos de riesgos:

...