El cliente exige gestión de vulnerabilidades según BSI — ¿Qué debemos implementar concretamente en Alemania?

Los equipos pequeños se ahogan en las guías de cientos de páginas del IT-Grundschutz en cuanto oyen hablar de la BSI. Lo más probable es que el cliente no busque una certificación completa sino una prueba operativa que mostrar en una auditoría. Si en el contrato no se exige explícitamente la ISO 27001 o la certificación BSI, presente solo el documento de procesos y el informe de escaneo para avanzar sin agotar el presupuesto.

Para facilitar la parte técnica, integre escáneres continuos de dependencias de código abierto y herramientas de escaneo de vulnerabilidades a nivel de servidor. Si configura un webhook que envíe directamente los registros CVE al sistema de tickets, evitará que el administrador de sistemas lleve listas manuales. Los auditores de la BSI suelen fijarse en los servidores sombra no escaneados, así que incluya todos los subdominios del dominio principal dentro del alcance.

En un proyecto público similar, contratamos un escáner de vulnerabilidades con una licencia anual de 2.200 EUR. La instalación del sistema nos llevó 3 semanas. Nuestro administrador dedica 2 horas cada lunes a revisar los avisos de la BSI y CERT, y 6 horas al mes a preparar informes. Gracias a esta rutina hemos pasado las últimas dos auditorías de clientes con cero observaciones.

Lo más rápido que puedes hacer mañana mismo: 1) Deja clara tu lista de servidores y librerías en una tabla. 2) Suscríbete al boletín gratuito por correo de CERT-Bund. 3) Escribe una Política de Seguridad de dos páginas que indique los plazos de parcheo y haz que se firme internamente. Cuando el cliente venga a auditar, será lo primero que pida.

Nos encontramos con la misma exigencia en una licitación de software de salud en Múnich. En la primera auditoría nos preguntaron: "¿En cuánto tiempo solucionaron una vulnerabilidad crítica del kernel el mes pasado y dónde está el registro?". Habíamos aplicado el parche en producción en 4 horas, pero nos llamaron la atención por no haber abierto un ticket ni registrado las horas. El secreto está realmente en llevar un buen registro.

¿Su cliente hace referencia directa al módulo BSI IT-Grundschutz OPS.1.1.3 (Patch- und Änderungsmanagement) en el pliego de condiciones? Si se exige este módulo, deberá vincular la gestión de cambios (Change Management) con el proceso de aprobación de parches.

nosotros tmb pasamos x algo parecido, mete bots automáticos de escaneo de vulnerabilidades en el repo de git... q escanee las librerías en cada build. la verdad hasta un diagrama de flujo q muestre q no subes códiggo a producción sin q dé verde en test alcanza pa convencer al cliente.

Dado que su cliente está vinculado al sector público, está obligado a garantizar el cumplimiento de los estándares del BSI en el contrato de subcontratación. La documentación que elabore debe incluir una matriz de responsabilidades (RACI), un procedimiento de parcheo de emergencia y un compromiso de auditoría externa anual. Es fundamental que estos documentos estén aprobados por la dirección de la empresa.

Aquí hay que hacer una distinción. El tiempo que tardas en detectar un problema determina directamente su coste.

Eso es todo, disculpa si me he extendido demasiado.

¿Y cómo resolvieron esto? Lo importante no es la cifra sino en qué se basa esa cifra.

Perdona, pero esto no es válido en todos los casos. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Ánimo.

Llevé mucho tiempo con este asunto. Todos los que se apresuran con gestión de vulnerabilidades bsi se atascan en el mismo punto.

Le agradecería que compartiera el resultado. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Lo dejo como nota, por si sirve.

Estoy siguiendo esto.

Hay algo que no entiendo. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Ánimo.

Exactamente así. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Si escribís el resultado aquí, también servirá de ayuda a otros.

La discusión se ha dispersado, voy a ordenarla. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

La respuesta varía mucho según el sector, no hay una regla general. Espero que le sea útil.

Tiene razón. bueno las decisiones apresuradas son las que hay que corregir seis meses después.

Un informe de escaneo automático no es lo mismo que una prueba de penetración. en fin si escribís el resultado aquí también servirá de ayuda a otros.