¿Cómo implementar una gestión de vulnerabilidades bajo estándares ANSSI en un equipo de 12 personas en Francia?

Los grandes clientes industriales copian sus formularios corporativos directamente a los subcontratistas. Si respondes sí a cada línea siendo 12 personas, cuando el auditor pida evidencias te vas a trancar. Basta con presentar un calendario de parches adaptado a tu escala.

Somos un equipo de desarrollo de 15 personas. Tenemos un contrato de mantenimiento con nuestro proveedor de TI por 400 EUR al mes. Una vez al mes nos dan un informe de escaneo del sistema y firman que aplicaron los parches críticos. Pasamos dos auditorías corporativas grandes sin problemas con este documento.

Mañana mismo abre una tabla. Anota marca, modelo y sistema operativo de las 12 computadoras de la empresa, el servidor compartido y el módem-router. Al lado pon la fecha del último parche. Y listo, ya tienes tu primer inventario de vulnerabilidades.

El departamento de compras del cliente la mayoría de las veces ni lee esos formularios. Lo importante es no dejar nada en blanco y explicar tu propio proceso lógico con frases claras haciendo referencia a estándares corporativos.

Las 3 pruebas concretas que querrá ver el auditor son: 1) Lista actualizada de dispositivos y software. 2) Capturas de pantalla que muestren que las actualizaciones automáticas están activadas. 3) Parte de trabajo del especialista de TI externo sobre las actualizaciones de los últimos 3 meses.

en la web de anssi hay una guia de higiene genial de 12 puntos especial para pymes responde haciendo referencia al punto de vulnerabilidades de ahi esa guia es el mejor escudo contra los formularios de las grandes empresas.

En el marco del derecho contractual en Francia, los procedimientos de seguridad que declare tienen carácter vinculante. Por este motivo, le recomiendo encarecidamente evitar compromisos que no pueda cumplir, como pruebas de penetración semanales o escaneos continuos de vulnerabilidades.

Correcto.

Este hilo es para archivar.

Dejo una advertencia. Si regañas las falsas alarmas, nadie volverá a reportar.

Lo dejo como nota, por si sirve.

En su momento, nosotros también nos atascamos ahí. Si decidimos sin medir, siempre acabamos en el mismo punto.

Todos los que se apresuran con gestión de vulnerabilidades se atascan en el mismo punto. Lo dejo como nota, por si sirve.

Estoy siguiendo esto. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada. Por supuesto cambia si tu situación es diferente.

Entrando en detalle: Las soluciones que funcionan a pequeña escala se rompen al crecer aprendí esto tarde.

Perdona, pero esto no es válido en todos los casos. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Todos los que se apresuran con gestión de vulnerabilidades se atascan en el mismo punto.

A nosotros también nos pasa.

Aquí hay que hacer una distinción. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Tengo una pregunta, no quiero desviarme del tema, pero... Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Eso es todo, disculpa si me he extendido demasiado.

La discusión se ha dispersado, voy a ordenarla. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

También me gustaría saber si alguien lo hace de otra manera.