La gestión de vulnerabilidades es un desafío constante para las organizaciones en el entorno digital actual, en el que los objetivos de ataque se expanden y los ciberataques son cada vez más sofisticados. Aunque muchas empresas han avanzado en la identificación de riesgos, los procesos de priorización y corrección de vulnerabilidades presentan importantes áreas de mejora, según el más reciente informe “El estado de la gestión de vulnerabilidades: Información de profesionales de TI y ciberseguridad”.
El informe, elaborado por Tenable destaca, entre otras cifras, que solo 4 de cada 10 empresas considera que es eficaz en la gestión de sus vulnerabilidades, mientras que un número similar usa métodos manuales para la corrección de estas.
Además, el documento señala la importancia de abordar las vulnerabilidades mediante un enfoque integral que contemple tres fases clave: identificación, priorización y corrección. Si bien la mayoría de las organizaciones reporta avances en la primera fase, los resultados indican una baja eficacia en las dos últimas, lo que deja a muchas empresas expuestas a amenazas críticas.
Identificación: una fortaleza con margen de mejora
El 67% de las organizaciones realiza escaneos frecuentes para identificar vulnerabilidades, mostrando un desempeño positivo en esta etapa. Sin embargo, las organizaciones enfrentan algunos obstáculos. El 58% calificó a la cobertura (el alcance de la detección de vulnerabilidades) y la precisión (preocupaciones sobre los falsos positivos o negativos) como desafíos urgentes.
Estos desafíos indican que las herramientas actuales de escaneo de vulnerabilidades podrían no estar cumpliendo con las expectativas. Desafíos como la cobertura limitada, los falsos positivos y la falta de visibilidad en la superficie de ataque revelan la necesidad de adoptar herramientas más avanzadas que mejoren la precisión y el alcance de la detección. Pasar de herramientas de escaneo de nivel inicial a plataformas de gestión de vulnerabilidades más robustas puede mejorar en gran medida las prácticas de identificación.
Priorización: la necesidad de evolucionar métodos tradicionales
El informe señala que solo el 40% de las empresas considera que gestiona eficazmente la priorización de vulnerabilidades. Sin embargo, la dependencia de métodos tradicionales limita la capacidad de evaluar el riesgo real para el negocio. En lugar de impulsar la mejora, estos abordajes pueden detectar que hay demasiadas vulnerabilidades que requieren atención, el cual es un problema que mencionan la mitad de los encuestados. De las empresas que priorizan vulnerabilidades, el 47% aún utiliza metodologías obsoletas o patentadas, y el 60% de estas invierte más del 50% de su tiempo en este proceso.
Frecuentemente, cuando una organización determina que un método inicial de priorización no produce los resultados deseados, prueba un segundo o tercer método. El uso de múltiples enfoques para la priorización, un problema reportado por el 79% de los encuestados, hace que esta fase sea aún más complicada. Además, el 63% de las organizaciones menciona la integración de inteligencia de amenazas como uno de los principales retos, mientras que más del 50% enfrenta dificultades con la gran cantidad de vulnerabilidades catalogadas como críticas o de alta prioridad.
Corrección: la fase más desafiante
La corrección de vulnerabilidades sigue siendo el mayor reto para las organizaciones, con apenas un 9% considerándose eficaces en esta fase. Cuando se preguntó por los desafíos principales, más de la mitad de las organizaciones (51%) mencionó como mayor preocupación cómo priorizar qué vulnerabilidad hay que abordar primero.
Factores como la dependencia de procesos manuales, herramientas ad hoc y la falta de automatización son los principales obstáculos. Actualmente, el 74% de las empresas utiliza al menos tres herramientas diferentes para corregir vulnerabilidades, incluyendo software de emisión de tickets (68%), herramientas de colaboración (66%) y métodos ad hoc y manuales(34%), como hojas de cálculo o correos electrónicos, lo que aumenta el riesgo de errores y demora en las soluciones. Sin embargo, hay señales de progreso: el 95% de las empresas tiene planes de reducir los procesos manuales, con un 65% priorizando la automatización en los próximos 12 meses.
“La escasez de recursos especializados, presupuestos limitados y la creciente sofisticación de los ataques presenta un panorama desafiante para las organizaciones en América Latina. Es crucial que se adopten enfoques innovadores que permitan optimizar procesos y potencien la capacidad de respuesta ante las amenazas. La adopción de enfoques integrales y el aprovechamiento de las tecnologías emergentes de forma segura permitirán a las organizaciones en la región estar mejor preparadas frente a los retos de un entorno digital en constante evolución.”, destacó Hermes Romero, director para Centro, Suramérica y Caribe de Tenable. de Tenable.
El informe subraya que, aunque las empresas han avanzado en la identificación de vulnerabilidades, deben enfocarse en mejorar sus procesos de priorización y corrección. Esto permitirá a las organizaciones no solo mitigar riesgos, sino también adaptarse al entorno de amenazas en constante cambio, asegurando su sostenibilidad y éxito a largo plazo.
