ISO 27001 nos exige 'gestión de vulnerabilidades': ¿con qué proceso y herramientas se hace?

En la parte de código abierto, los escáneres de red de edición comunitaria distribuidos como imagen de contenedor cumplen perfectamente. Puedes escanear los paquetes del sistema operativo y los puertos abiertos de tus servidores para obtener informes basados en CVE. La mayor complicación es filtrar los falsos positivos. Si consigues enganchar el escaneo a una tarea cron semanal y exportar los resultados en JSON, dejas el proceso completamente automatizado.

Pasamos por un proceso similar para nuestra infraestructura de 20 servidores en Madrid. Las grandes herramientas corporativas nos pedían 6.500 EUR al año. En su lugar, instalamos un complemento de seguridad en la nube por el que pagamos 8 EUR mensuales por servidor. Gastamos unos 1.900 EUR al año y el auditor aprobó el proceso en la primera auditoría sin señalar ninguna no conformidad.

Los consultores suelen exagerar todo para venderte softwares caros de los que se llevan comisión. Al auditor no le importa el panel de la herramienta, sino quién cerró qué hallazgo del Excel y en qué fecha. Antes de dejaros un dineral en herramientas, aclarad la documentación de vuestro proceso.

El ciclo que debéis aplicar es este: 1) Ejecutar el escaneo automático a principios de mes. 2) Filtrar las vulnerabilidades críticas y altas de la lista CVE. 3) Asignarlas como tareas al equipo de desarrollo. 4) Hacer un escaneo de comprobación tras aplicar el parche. 5) Archivar el informe y la fecha de cierre en PDF en la carpeta de auditoría.

¿En qué proveedor de la nube tenéis alojados los servidores? Los grandes proveedores tienen servicios de seguridad integrados que escanean servidores virtuales y contenedores. Casi siempre sale mucho más barato activar estos servicios internos que alquilar una herramienta externa.

No os olvidéis de los fallos en las librerías del código. No basta con escanear el servidor, añadid a vuestro pipeline de compilación herramientas gratuitas que escaneen las dependencias del repositorio. A los auditores les encanta ver la gestión de vulnerabilidades en código abierto y ponerlo en marcha no cuesta casi nada.

la mayor trampa es intentar escanear todo de golpe. si el primer mes salen mil hallazgos los devs entran en pánico. escanead primero solo los puertos abiertos al exterior y luego id entrando poco a poco, si no se frena el trabajo de verdad.

En la versión ISO 27001:2022, el punto 8.8 aborda directamente la gestión de vulnerabilidades técnicas. Es fundamental que la organización documente su capacidad para evaluar vulnerabilidades e iniciar acciones correctivas. En este sentido, elaborar un Procedimiento de Gestión de Vulnerabilidades aprobado es de carácter vinculante para la auditoría.

Yo también tengo curiosidad.

A nosotros nos pasó esto. en fin todo lo que no está por escrito ambas partes lo recordarán de forma distinta en el futuro.

Eso es todo disculpa si me he extendido demasiado.

No sabía eso.

Hace dos años viví exactamente lo mismo. El error cometido por herramientas gestion vulnerabilidades suele ser reversible, pero caro.

Lo dejo como nota, por si sirve.

¿Y cómo resolvieron esto? La respuesta varía mucho según el sector no hay una regla general.

Si tenéis dudas, escribid os responderé en la medida de lo posible.

Exactamente así. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Al tomar decisiones, escribe también el peor escenario, no solo el mejor. Esta es mi opinión, no lo escribo como una verdad absoluta.

Entrando en detalle: El tiempo que tardas en detectar un problema determina directamente su coste.

El error cometido por herramientas gestion vulnerabilidades suele ser reversible, pero caro.

A nosotros nos pasó esto. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Os explico cómo se hace en la práctica. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Si intentas cambiarlo todo a la vez, nada termina de asentarse. Yo seguiría por ese camino.

El punto que más se pasa por alto sobre herramientas gestion vulnerabilidades es este: Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Ánimo.