Gestión de las vulnerabilidades con ayuda del CERT de INTECO

Sin olvidar que las aplicaciones y los programas son desarrollados por seres humanos, debido a la naturaleza de estos podemos considerar que las herramientas que generan pueden no ser perfectas. En el mundo de las Tecnologías de la Información y la Comunicación (TIC), cualquier fallo en el software que impida una correcta ejecución del mismo o que muestre un comportamiento no contemplado (cierre inesperado de la aplicación, cuelgue del sistema, etc.), se considera una vulnerabilidad o fallo de seguridad. Estos serán más graves en función del impacto que pueda causar ese comportamiento no controlado.

A lo largo de los años, el parcheo de vulnerabilidades o actualizaciones de productos para corregir fallos, ha entrado dentro del propio ciclo evolutivo del software y los usuarios cada vez lo consideramos más "normal". No obstante, a pesar de que forme parte del día a día, hay que ser conscientes de la importancia que supone tener los sistemas actualizados así como las aplicaciones de soporte y no dejar para mañana una tarea de estas características.

La gestión de vulnerabilidades es un proceso esencial en el ciclo de mejora continua

Esta cuestión se torna mucho más importante si contamos con una empresa en la que además tenemos implementado un Sistema de Gestión de la Seguridad de la Información (SGSI) basado en algún tipo de norma o estándar (ISO 27001) o incluso si únicamente hemos aplicado algún control necesario para garantizar la continuidad del negocio. En este caso, la gestión de vulnerabilidades debe entrar en todo el ciclo de mejora continua para cubrir las necesidades de seguridad a medida que evolucionan las amenazas y los problemas de seguridad.

Hace cuatro años, el CERT de INTECO preocupado por esta cuestión, puso a disposición de los ciudadanos y empresas el servicio de suscripción de vulnerabilidades, en colaboración con el NIST,. Recientemente, este servicio ha sufrido una evolución que parte del nuevo formulario de suscripción al boletín de vulnerabilidades, diseñado para que sea más dinámico y fácil de usar, con el objetivo de que cualquier usuario del portal pueda suscribirse a los productos de forma sencilla y rápida. Ahora existe la posibilidad de suscribirse a un fabricante con un solo clic, productos independientes o buscar dinámicamente productos que se correspondan con la cadena introducida en el formulario "Nombre de producto". Además se ha optimizado el listado de productos organizados por fabricante pudiendo contraer o expandir las selecciones. Debemos recordar que para mantener la selección de productos, tras realizarla, hay que guardar el formulario. Se mantiene la periodicidad de los mismos, "Boletín inmediato" o "Boletín semanal". El primero se envía en el momento de recoger la vulnerabilidad mientras que el segundo resume las vulnerabilidades aparecidas a lo largo de la semana.

1, marcamos el servicio y 2, personalizamos la selección

Selección dinámica de productos

Detalle de la selección y del botón Aceptar para guardarla

El proceso para darse de alta no ha sido modificado. Para suscribirse a este servicio nos hemos de registrar en el portal de INTECO, y si ya somos un usuario registrado, editaremos nuestro perfil seleccionando, dentro de "Servicios Comunes a todos los perfiles", el enlace de "Servicios opcionales para todos los usuarios" y marcando después la opción de "Boletín de vulnerabilidades", haciendo clic a continuación en el botón «Personalizar» para configurar dicho boletín.

Además el CERT de INTECO dispone del servicio de suscripción RSS de vulnerabilidades, a través del que se puede mantenerse informado acerca de las vulnerabilidades que han sido traducidas.

Fuente: INTECO