La sesión destacó las vulnerabilidades específicas del sector público, resaltando las limitaciones de los marcos tradicionales como CVSS y los riesgos que plantean los puntos ciegos en los métodos de evaluación existentes. Los participantes revisaron casos prácticos reales, como las transferencias no autorizadas en bancos mexicanos, para comprender las implicaciones prácticas y las lecciones aprendidas. La sesión también presentó una nueva metodología que combina CVSS con EPSS.
La segunda parte del seminario se centró en examinar la importancia de adoptar una metodología basada en el riesgo, evaluar las vulnerabilidades según el impacto en el negocio y priorizar los activos más críticos. Los participantes aprendieron la necesidad de una propiedad clara de los activos, el apoyo de la dirección y el uso de métricas sencillas y significativas para realizar un seguimiento de la exposición y el progreso. La sesión también abordó los retos comunes de mantener un inventario de activos limpio y presentó métodos prácticos para desarrollar uno fiable.
En general, el seminario proporcionó a los miembros de LAC4 una visión general completa de los retos de vulnerabilidad del sector público, los incidentes del mundo real y las limitaciones de los marcos de evaluación tradicionales. También hizo hincapié en el valor de una metodología basada en el riesgo, la propiedad clara de los activos y las herramientas prácticas para mantener un inventario de activos preciso.
Conclusiones más importantes del seminario:
- Adoptar un enfoque basado en el riesgo para la gestión de vulnerabilidades, priorizando los activos según su impacto en el negocio y la amenaza potencial.
- Establecer una propiedad clara de los activos y garantizar el apoyo de la dirección para mantener un programa eficaz de gestión de vulnerabilidades.
- Utilizar herramientas y metodologías prácticas para el escaneo, el análisis y la detección de vulnerabilidades en redes y sistemas críticos.
- Priorizar los esfuerzos de corrección en las vulnerabilidades más críticas, especialmente en entornos gubernamentales y de infraestructura crítica.
- Crear y mantener inventarios precisos de activos, incluyendo la TI en la sombra, los recursos en la nube y los sistemas heredados, utilizando métodos tanto automatizados como manuales.
- Aplicar flujos de trabajo estructurados y automatización para la aplicación de parches y la corrección, con controles compensatorios cuando no sea posible realizar correcciones inmediatas.
- El apoyo de la dirección es vital para que un programa de gestión de vulnerabilidades funcione bien.
- Comprender los retos del sector público y las limitaciones de los marcos tradicionales como CVSS.
- Aprovechar nuevas metodologías, como la combinación de CVSS y EPSS, para mejorar la detección, la priorización y la respuesta.
- Aprender de casos reales y simulaciones para tender puentes entre la teoría y la aplicación práctica, mejorando la ciberresiliencia general.
- Pasar de estrategias reactivas a proactivas, integrando la evaluación de vulnerabilidades en prácticas más amplias de gestión de riesgos cibernéticos.
LAC4 mantiene su compromiso de apoyar a sus miembros en la mejora de sus capacidades para identificar, evaluar y mitigar las vulnerabilidades de los sistemas críticos. Al seminario asistieron 170 partes interesadas y responsables políticos de los países participantes en LAC4. Estaba diseñado específicamente para las partes interesadas en la ciberseguridad y los responsables políticos de los países miembros de LAC4, entre los que se encuentran Antigua y Barbuda, Colombia, República Dominicana, Ecuador, El Salvador, Guatemala, Honduras, Panamá, Uruguay, Bahamas y los miembros de RedCLARA.
