Análisis de Vulnerabilidades ¿Qué es y para qué le sirve a las empresas?

Muchas veces como empresa, no comprendemos los motivos y la necesidad de realizar un análisis de vulnerabilidades y solo recurrimos a ello únicamente como parte del cumplimiento normativo o porque lo solicitan nuestros clientes para poder trabajar con ellos, subestimando el alcance de este reporte que podría ayudarnos a eliminar muchos dolores de cabeza.

El motivo principal de este tipo de análisis, es detectar las vulnerabilidades que pueden existir en nuestros sistemas y así, poder dar una solución antes de que sea demasiado tarde, aplicando controles de seguridad, políticas, procesos, etc.

 

¿Qué es una vulnerabilidad?

Según la norma internacional ISO 27001, una vulnerabilidad es la debilidad de un activo que puede ser explotada por una amenaza para materializar una agresión sobre el activo.

Un ejemplo muy simple pero que ayuda a entender las distintas referencias a las que hacemos alusión, podría ser el hecho de mantener la puerta abierta de un edificio al público, sin contar con un guardia de seguridad (vulnerabilidad), lo que podría generar que un delincuente ingrese fácilmente a las instalaciones (amenaza) y robe equipos, laptop, documentos, etc (materialización).

Podría interesarte... ¿Cómo definir las amenazas de seguridad?

¿Qué es el análisis de vulnerabilidades?

El análisis de vulnerabilidades es un proceso que nos ayudará a detectar las vulnerabilidades existentes en los sistemas de nuestra empresa, muy probablemente a tiempo antes de que puedan materializarse. 

Por lo que con su realización, por lo menos una o dos veces al año, podremos analizar y elaborar un plan de acción para mejorar y generar un ecosistema de seguridad más robusto.

Así mismo, al tener claras las vulnerabilidades, podremos llevar a cabo un constante monitoreo sobre las mismas para detectar y actuar en caso de que algún atacante quiera explotarlas (actividad sospechosa).

Nuestro reporte, nos ayudará también a dar seguimiento a las actividades necesarias para cubrir esa vulnerabilidad, llevando a cabo un plan de remediación donde se indicarán los tiempos y las actividades para poder parchar ese hueco de seguridad.

Análisis de vulnerabilidades VS Pruebas de Penetración

No debemos confundir los términos, si bien es cierto, las pruebas de penetración también conocidas como Pentest, normalmente parten de un análisis de vulnerabilidades, no quiere decir que son lo mismo.

El Análisis de Vulnerabilidades se encarga de detectar, listar, analizar y priorizar las vulnerabilidades, mientras que las Pruebas de Penetración están enfocadas en intentar explotar dichas vulnerabilidades con el objetivo de descubrir qué tan críticas son y hasta dónde podría afectar a la organización si un ciberdelincuente llegara a realizar un ataque.

Realizar pruebas de penetración con regularidad son también necesarias en las empresas para llevar una correcta gestión de los riesgos de seguridad y como una medida preventiva de los mismos.

Bien, con esto, espero que comprendas la importancia y necesidad de realizar un análisis de vulnerabilidades periódicamente en tu organización como una manera de comenzar a evaluar un plan de gestión de seguridad además de cumplir con normativas internacionales de ciberseguridad.