Nos pidieron una política de gestión de vulnerabilidades para una auditoría de proveedores, ¿por dónde empezamos a prepararla?

Los auditores corporativos ven cientos de documentos de proveedores y se dan cuenta al toque cuando un texto es copiado de internet. No pongas nada en la política que no puedas cumplir. Por ejemplo, si pones 'se realiza un pentest externo todos los meses', te van a pedir facturas y reportes, y con 45.000 EUR de facturación no vas a tener presupuesto para un pentest mensual. Escribe exactamente lo que hacen.

No te acorroles solo con los plazos. Los equipos chicos que ponen 'parcheamos en 24 horas' para fallos críticos terminan arriesgando el contrato ante la primera crisis. Pon 7 días para nivel crítico, 30 días para alto y 90 días para medio. Separa bien los parches de emergencia de las ventanas de mantenimiento rutinarias.

Haz referencia directa al sistema de puntuación CVSS en el documento. Pon umbrales técnicos claros como 'las vulnerabilidades con puntaje CVSS v3 de 9.0 o superior se consideran críticas'. Además, divide las fuentes de vulnerabilidad en dos: dependencias externas (paquetes open source) y parches del sistema operativo/infraestructura. Tienen mecanismos de seguimiento distintos.

Bajar una plantilla y enviarla te da un alivio temporal, pero si el cliente es una corporación francesa, apenas aprueben el archivo te van a pedir evidencias técnicas. Si no tienes una herramienta real de escaneo, historial de versiones y tickets de cierre, generar papel por generar se puede convertir en un riesgo legal más adelante.

nosotros usamos una plantilla pa una auditoria parecida pero le adjuntamos los reportes de los escáneres gratis q usabamos... bueno el auditor nos pidio directamente el ultimo reporte de escaneo se lo mostramos y listo luego el doc solo no alcanza ten los reportes a mano.

Las grandes empresas en Francia auditan a sus proveedores con contratos vinculantes por normativas de seguridad en la cadena de suministro. La política firmada pasa a ser legalmente un anexo del contrato comercial. Por eso es clave que los tiempos de parcheo que te comprometas a cumplir coincidan con la capacidad técnica real de tu empresa.

tampoco te hagas tanto drama, nadie espera un estándar militar de 50 páginas para una empresa de software de 9 personas y con un documento claro de 3 o 4 páginas con procesos bien definidos un responsable y un mail de contacto, la mayoría de los auditores quedan más que conformes.

una vez preparado el documento ¿es obligatorio certificarlo con una auditora externa o ante escribano o alcanza con el seello de la empresa y la firma del fundador?

El punto que más se pasa por alto sobre gestión de vulnerabilidades es este: La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Comprobado por experiencia.

Han surgido tres opiniones distintas, todas se complementan. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Eso es todo, disculpa si me he extendido demasiado.

Resumen breve para nuevos usuarios: Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Lo dejo como nota, por si sirve.

Sí, la situación con gestión de vulnerabilidades es exactamente así. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

La discusión se ha dispersado, voy a ordenarla. Al tomar decisiones escribe también el peor escenario, no solo el mejor.

Resumen breve para nuevos usuarios: Si decidimos sin medir, siempre acabamos en el mismo punto.

Eso es todo, disculpa si me he extendido demasiado.

No tengo ninguna experiencia en gestión de vulnerabilidades, por eso pregunto. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Resumen breve para nuevos usuarios: Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Todos los que se apresuran con gestión de vulnerabilidades se atascan en el mismo punto. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Estoy en la misma situación, por eso pregunto. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Intentar hacerlo solo es la vía más cara. Lo dejo como nota, por si sirve.

Lo escribo para que no cometan el mismo error. El error cometido por gestión de vulnerabilidades suele ser reversible, pero caro.

Comprobado por experiencia.