Puntos clave
- La gestión de vulnerabilidades es un proceso cíclico (descubrimiento de activos, puntuación CVSS, pruebas, monitorización de inteligencia de amenazas, remediación y reevaluación) que gira en torno a los CVE y las puntuaciones CVSS.
- La gestión de exposición adopta la perspectiva del atacante para valorar el riesgo y comprueba si las configuraciones incorrectas, los fallos del sistema y las dependencias de terceros pueden causar un daño real al negocio.
- La gestión de exposición y la gestión de vulnerabilidades son complementarias: la primera se construye sobre los datos de vulnerabilidades y la infraestructura de seguridad que ya tienes.
- Antes de ir más allá de la gestión de vulnerabilidades tradicional, los equipos de TI deben evaluar la madurez de sus herramientas, su capacidad de remediación y las brechas de riesgo en cloud, identidad y SaaS.
Los programas de seguridad protegen los cimientos operativos de tu empresa. Entender la diferencia entre gestión de exposición y gestión de vulnerabilidades (y cuándo aplicar cada una) permite a los equipos de TI priorizar y remediar con eficacia, optimizando los recursos para el cumplimiento y la continuidad del negocio.
¿Qué es la gestión de vulnerabilidades y en qué se diferencia de la gestión de exposición?
Qué define a la gestión de vulnerabilidades
La gestión de vulnerabilidades es el proceso continuo y cíclico de identificar, evaluar, priorizar y remediar debilidades conocidas en los endpoints y las aplicaciones de tu infraestructura. Se trata de un método más tradicional de monitorización de la seguridad, centrado sobre todo en los fallos del sistema operativo (SO) y del software.
La gestión de vulnerabilidades consta de seis etapas:
- Realizar el descubrimiento y el inventario de activos.
- Utilizar el Common Vulnerability Scoring System (CVSS) para comprobar los riesgos asociados y organizar los hallazgos.
- Probar tus sistemas de forma periódica en busca de exploits ocultos y vulnerabilidades de gran impacto.
- Usar plataformas de inteligencia de amenazas para detectar de forma continua nuevos fallos del sistema.
- Aceptar, mitigar o remediar las vulnerabilidades encontradas.
- Programar la siguiente reevaluación del sistema para detectar nuevos riesgos.
Esta práctica ayuda a proteger la base procedimental de la mayoría de los entornos empresariales y genera un registro de auditoría coherente para el seguimiento del cumplimiento. Dicho esto, la monitorización basada en CVSS puede marcar miles de sistemas como críticos, lo que deriva en parches poco selectivos que se prolongan días o semanas.
Qué define a la gestión de exposición
La gestión de exposición es la estrategia proactiva de validar los exploits de alto valor de un sistema para proteger las funciones críticas del negocio. Este enfoque moderno busca reforzar la seguridad al máximo y se aplica desde la perspectiva del atacante.
El State of Exposure Management Study de Brinqa encuestó a 200 responsables de ciberseguridad y una mayoría abrumadora (el 93 %) coincidió en que la gestión de exposición es una prioridad de negocio. No es difícil entender por qué.
La gestión de exposición observa la totalidad de los factores de riesgo de una organización y distingue entre los riesgos que merece la pena aceptar y los que exigen actuar de inmediato. Las políticas de los sistemas de TI, la ingeniería social, las configuraciones incorrectas, el SaaS externo y los controles de acceso privilegiado forman parte del marco de gestión de exposición.
Para integrar la gestión de exposición, los equipos de TI deberían:
- Elaborar un inventario completo de activos con una herramienta de External Attack Surface Management (EASM).
- Añadir una capa de gestión de la postura de seguridad en el cloud (CSPM) para localizar configuraciones incorrectas en entornos AWS, Azure y GCP.
- Integrar herramientas de seguridad de identidad para detectar cuentas con privilegios excesivos, credenciales obsoletas y fallos en AD.
- Relacionar los hallazgos con posibles rutas de ataque para entender cómo se «encadenan» las debilidades.
- Priorizar la remediación según los componentes más esenciales del negocio (los llamados activos «joya de la corona»).
Capacidad clave: detección y remediación de vulnerabilidades
Algo que la gestión de vulnerabilidades hace muy bien es su enfoque sistemático para identificar fallos del sistema y eliminar esos riesgos a gran escala. Además, genera un inventario de todos los fallos de software que tendrás que analizar después de lanzar un producto o un servicio.
Capacidad clave: priorización del riesgo según el contexto
La gestión de exposición filtra el ruido de conjuntos de datos enormes para centrarse en las brechas de seguridad que pueden afectar de verdad a tu negocio. Además, da prioridad al contexto, la explotabilidad y la jerarquización para optimizar de verdad tus recursos.
Reducir el riesgo en toda la superficie de ataque
Una diferencia fundamental entre ambas disciplinas está en su alcance. Mientras que la gestión de vulnerabilidades se centra por naturaleza en los activos, la gestión de exposición se pregunta: «¿Hasta dónde puede llegar realmente un atacante y qué daño puede causar?».
A medida que los ecosistemas digitales crecen rápidamente con la dependencia del SaaS, la adopción del cloud y los servicios digitales interconectados, los enfoques de gestión tradicionales dan menos resultado más allá de las listas de verificación de cumplimiento. La gestión continua de la exposición a amenazas (CTEM) cubre ese vacío.
Además, la gestión de exposición traza cómo se conectan entre sí las debilidades individuales y ofrece una visión más completa. Un bucket de S3 mal configurado, las credenciales de su cuenta de servicio y el movimiento lateral hacia los entornos de producción no se ven como tres problemas distintos, sino como una única ruta continua.
Con este marco, los equipos de ciberseguridad pueden:
- Utilizar herramientas de análisis de rutas de ataque
- Priorizar el cierre de los puntos de estrangulamiento
- Revisar su superficie de ataque externa cada trimestre
- Incluir el riesgo del SaaS de terceros en el alcance de la exposición.
Integración con las operaciones de seguridad existentes
La gestión de exposición está pensada para construirse sobre las medidas de seguridad que ya existen, enriquecer los datos de vulnerabilidades y aportar contexto de negocio. Esta extensión reduce el riesgo, pero solo si aprovecha bien tu stack actual.
Ten en cuenta los hallazgos con y sin CVE, los exploits detectados en otras plataformas de seguridad, las configuraciones incorrectas y la inteligencia de amenazas para lograr una gestión continua y completa de la exposición a amenazas.
Consigue que los equipos de TI cierren el círculo entre la detección y la remediación de vulnerabilidades.
Descubre cómo NinjaOne simplifica la gestión de vulnerabilidades en los endpoints.
Qué deben valorar los equipos de TI
Antes de sustituir, integrar o ampliar tus estrategias de gestión, plantéate lo siguiente:
- ¿Tu conjunto de herramientas de gestión de vulnerabilidades es lo bastante maduro para dar el salto?
- ¿Puede tu equipo de TI remediar las amenazas que detecta?
- ¿Tienes riesgos de cloud, identidad o SaaS que quedan fuera del alcance de los CVE?
- ¿Sabes explicar el riesgo en términos de negocio?
Ideas equivocadas habituales sobre la gestión de exposición y de vulnerabilidades
«La gestión de exposición sustituye a la gestión de vulnerabilidades»
Esta creencia puede llevar a las organizaciones a abandonar demasiado pronto sus programas básicos de escaneo. Aunque la gestión de exposición y la gestión de vulnerabilidades cumplen funciones distintas, sus papeles son complementarios para reforzar tu ciberseguridad.
«La puntuación CVSS basta para decidir la prioridad de remediación»
Si no se tiene en cuenta la explotación activa, la viabilidad del ataque y el contexto del negocio, la mayoría de los sistemas de gestión de vulnerabilidades generan listas de prioridades que no reflejan con precisión el riesgo real.
«Con ejecutar un escáner de vulnerabilidades ya tienes visibilidad total del riesgo»
La gestión de vulnerabilidades suele centrarse en los CVE conocidos de los endpoints y las aplicaciones gestionados, mientras que la gestión de exposición abarca las superficies de ataque internas y externas, además de los riesgos de terceros como el SaaS.
«Los riesgos de identidad y configuración son problema de otros»
La gestión de exposición evalúa todos los tipos de exposición para determinar cuáles representan la mayor amenaza para tu organización. Este enfoque integral te permite asignar recursos de forma estratégica para proteger las operaciones del negocio, en lugar de fijarte solo en las puntuaciones de gravedad.
«La gestión de exposición solo sirve para las grandes empresas»
La gestión de exposición se adapta tanto a la baja como a la alta. Las organizaciones más pequeñas suelen obtener un beneficio desproporcionado de la priorización del riesgo según el contexto cuando el personal de seguridad es escaso, y quienes adoptan un enfoque proactivo normalmente consiguen múltiples ventajas, entre ellas:
- Reducción del riesgo por orden de prioridad
- Una postura de seguridad más robusta
- Mayor eficiencia
- Cumplimiento más fácil de alinear
Las claves de la gestión de exposición y la gestión de vulnerabilidades
La gestión de vulnerabilidades se centra en los activos individuales y en resolver problemas a partir de los CVE, mientras que la gestión de exposición adopta un enfoque más proactivo para reducir tu superficie de ataque y afrontar el riesgo real del negocio. Ampliar tu programa de seguridad requiere recursos, pero una monitorización centralizada puede simplificar el proceso.
Temas relacionados:
