ISO 27002:2022 – Control 8.8 – Gestión de Vulnerabilidades Técnicas

Propósito del Control 8.8

Ninguna red informática, sistema, software o dispositivo es 100% seguro. Las vulnerabilidades son parte integral del funcionamiento de una LAN o WAN moderna, y es importante que las organizaciones reconozcan que, en primer lugar, existen y, en segundo lugar, la necesidad de minimizar los riesgos donde tienen el potencial de ocurrir.

Control 8.8 contiene una cantidad considerable de consejos que ayudan a las organizaciones a prevenir la explotación interna y externa de vulnerabilidades en toda su red. El Control 8.8 se basa en procedimientos y directrices de soporte de muchos otros controles ISO 27002:2022, particularmente aquellos que se relacionan con la gestión de cambios (ver Control 8.32) y protocolos de control de acceso.

Tabla de Atributos de Control 8.8

Control 8.8 es un preventivo controlar eso mantiene el riesgo mediante la implementación de procedimientos que recopilan información sobre vulnerabilidades técnicas y permiten a la organización tomar medidas adecuadas para salvaguardar activos, sistemas, datos y hardware.

Propiedad del Control 8.8

El Control 8.8 se ocupa de la gestión técnica y administrativa de software, sistemas y activos TIC. Algunas de las directrices implican la implementación de un enfoque muy detallado para la gestión de software, la gestión de activos y la auditoría de seguridad de la red.

Como tal, la propiedad del Control 8.8 debe residir en la persona que tiene la responsabilidad general de mantener la infraestructura de TIC de la organización, como el Jefe de TI o su equivalente organizacional.

Orientación: identificación de vulnerabilidades

Antes de implementar controles de vulnerabilidad, es esencial obtener una lista completa y actualizada de los activos físicos y digitales (ver Controles 5.9 y 5.14) que son propiedad de la organización y están operados por ella.

La información de los activos de software debe incluir:

• Nombre del vendedor
• Nombre de la aplicación
• Números de versión actualmente en funcionamiento
• Dónde se implementa el software en todo el patrimonio

Al intentar identificar vulnerabilidades técnicas, las organizaciones deberían:

1. Describa claramente quién (dentro de la organización) es responsable de la gestión de vulnerabilidades desde una perspectiva técnica, de acuerdo con sus diversas funciones, que incluyen (pero no se limitan a):
• Gestión de activos
• Evaluación del riesgo
• Monitoring
• Actualización de
2. ¿Quién es responsable del software dentro de la organización?
3. Mantener un inventario de aplicaciones y recursos que se utilizarán para identificar vulnerabilidades técnicas.
4. Solicitar a los proveedores y vendedores que revelen las vulnerabilidades al suministrar nuevos sistemas y hardware (ver Control 5.20), y especificarlo como tal en todos los contratos y acuerdos de servicio relevantes.
5. Utilice herramientas de escaneo de vulnerabilidades, incluidas las funciones de parcheo.
6. Realice pruebas de penetración periódicas y documentadas, ya sea internamente o a través de un tercero certificado.
7. Tenga en cuenta el uso de bibliotecas de código de terceros y/o código fuente para vulnerabilidades programáticas subyacentes (consulte Control 8.28).

Orientación – Actividades públicas

Además de los sistemas internos, las organizaciones deben desarrollar políticas y procedimientos que detecten vulnerabilidades en todos sus productos y servicios, y recibir evaluaciones de vulnerabilidad relacionadas con el suministro de dichos productos y servicios.

ISO aconseja a las organizaciones que hagan un esfuerzo público para rastrear cualquier vulnerabilidad y alienten a terceros a participar en esfuerzos de gestión de vulnerabilidades mediante el uso de programas de recompensas (donde se buscan exploits y se informan a la organización para obtener una recompensa).

Las organizaciones deben ponerse a disposición del público en general a través de foros, direcciones de correo electrónico públicas y actividades de investigación para que el conocimiento colectivo del público en general pueda utilizarse para salvaguardar los productos y servicios en origen.

Cuando se hayan tomado medidas correctivas que afecten a usuarios o clientes, las organizaciones deberían considerar la posibilidad de divulgar información relevante a las personas u organizaciones afectadas y colaborar con organizaciones de seguridad especializadas para difundir información sobre vulnerabilidades y vectores de ataque.

Además, las organizaciones deberían considerar ofrecer un procedimiento de actualización automática en el que los clientes puedan optar por participar o no, según sus necesidades comerciales.

Orientación: evaluación de vulnerabilidades

La presentación de informes adecuados es clave para garantizar medidas correctivas rápidas y eficaces cuando se descubren vulnerabilidades.

Al evaluar las vulnerabilidades, las organizaciones deberían:

1. Analice cuidadosamente cualquier informe y decida qué medidas deben tomarse, incluidas (entre otras) la modificación, actualización o eliminación de los sistemas y/o hardware afectados.
2. Acordar una resolución que tenga en cuenta otros controles ISO (particularmente los relacionados con ISO 27002:2022) y reconozca el nivel de riesgos involucrados.

Orientación: contrarrestar las vulnerabilidades del software

La mejor manera de combatir las vulnerabilidades de software es con un enfoque proactivo de las actualizaciones de software y la gestión de parches.

Antes de implementar cualquier modificación, las organizaciones deben asegurarse de que se conserven las versiones de software vigentes, que todos los cambios se prueben completamente y se apliquen a una copia designada del software.

Al abordar directamente las vulnerabilidades una vez identificadas, las organizaciones deberían:

1. Buscar resolver todas las vulnerabilidades de manera oportuna y eficiente.
2. Cuando sea posible, siga los procedimientos organizacionales sobre gestión de cambios (ver Control 8.32) y respuesta a incidentes (ver Control 5.26).
3. Aplique únicamente actualizaciones y parches que provengan de fuentes confiables y/o certificadas, particularmente en el caso de software y equipos de proveedores externos.
• En lo que respecta al software del proveedor, las organizaciones deben tomar una decisión basada en la información disponible sobre si es necesario aplicar actualizaciones automáticas (o partes de las mismas) al software y hardware adquiridos.
4. Pruebe las actualizaciones necesarias antes de la instalación para evitar incidentes imprevistos en un entorno operativo.
5. Buscar abordar como prioridad los sistemas críticos y de alto riesgo para el negocio.
6. Asegúrese de que cualquier acción correctiva sea efectiva y auténtica.

En caso de que una actualización no esté disponible o de cualquier problema que impida su instalación (como problemas de costos), las organizaciones deben considerar otras medidas, como:

1. Pedirle consejo al proveedor sobre una solución alternativa o de “esparadrapo” mientras se intensifican los esfuerzos de reparación.
2. Deshabilitar o detener cualquier servicio de red que se vea afectado por la vulnerabilidad.
3. Implementar controles de seguridad de la red en puntos de entrada críticos, incluidas reglas y filtros de tráfico.
4. Incrementar el nivel general de seguimiento en función del riesgo asociado.
5. Asegúrese de que todas las partes afectadas sean conscientes de la vulnerabilidad, incluidos proveedores y clientes.
6. Retrasar la actualización para evaluar mejor los riesgos asociados, especialmente cuando el costo operativo puede ser un problema.

Controles de apoyo

• 5.14
• 5.20
• 5.9
• 8.20
• 8.22
• 8.28

Orientación complementaria sobre control 8.8

• Las organizaciones deben mantener un registro de auditoría de todas las actividades relevantes de gestión de vulnerabilidades, con el fin de ayudar en los esfuerzos correctivos y mejorar los procedimientos en caso de un incidente de seguridad.
• Todo el proceso de gestión de vulnerabilidades debe revisarse y evaluarse periódicamente para mejorar el rendimiento e identificar más vulnerabilidades en origen.
• Si la organización utilizó software alojado por un proveedor de servicios en la nube, la organización debe asegurarse de que la postura del proveedor de servicios hacia la gestión de vulnerabilidades esté alineada con la suya y debe formar una parte clave de cualquier acuerdo de servicio vinculante entre las dos partes, incluidos los procedimientos de presentación de informes. (ver Control 5.32).

Cambios y diferencias con respecto a ISO 27002:2013

ISO 27002:2022-8.8 reemplaza dos controles de ISO 27002:2013:

• 12.6.1 – Gestión de vulnerabilidades técnicas
• 18.2.3 – Revisión de cumplimiento técnico

27002:2022-8.8 representa un enfoque fundamentalmente diferente para la gestión de vulnerabilidades que el contenido en 27002:2013.

27002:2013-12.6.1 se ocupa en gran medida de la implementación de acciones correctivas una vez que se ha identificado una vulnerabilidad, mientras que 18.2.3 se limita a herramientas técnicas (principalmente pruebas de penetración).

27002:2022-8.8 contiene secciones completamente nuevas sobre temas como las actividades públicas de una organización, cómo se identifican las vulnerabilidades en primer lugar y el papel que desempeñan los proveedores de la nube para garantizar que las vulnerabilidades se mantengan al mínimo.

En general, ISO pone un mayor énfasis en el papel que desempeña la gestión de vulnerabilidades en otras áreas de 27002:2022 (en particular, la gestión de cambios) y aboga por un enfoque holístico que incluya muchos otros controles y procedimientos de seguridad de la información.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

Nuestra plataforma es intuitiva y fácil de usar. No es sólo para gente muy técnica; es para todos en su organización. Le animamos a involucrar al personal de todos los niveles de su negocio en el proceso de construcción de su SGSI, porque eso le ayudará a construir un sistema verdaderamente sostenible.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.