Autoevaluación

Puntuar el programa de exposición.

Por Dan Swihart · Publicado

20 afirmaciones, unos diez minutos. Indique hasta qué punto es cierta cada una para su organización hoy. Obtendrá una puntuación por fase, un nivel de madurez global y las tres acciones que más le harían avanzar.

No se envía nada a ningún sitio hasta que decida guardar los resultados al final. ¿Prefiere primero la versión de dos minutos? Haga la comprobación rápida.

  1. 01 Alcance: Acordar qué entra en juego
  2. 02 Descubrimiento: Encontrar cada exposición, no solo CVE
  3. 03 Priorización: Ordenar por ruta de ataque e impacto
  4. 04 Validación: Demostrar que es explotable
  5. 05 Movilización: Conseguir que se arregle, y demostrarlo

0 de 20 respondidas

01 Alcance 0 de 4

01.1Tenemos una definición escrita de qué activos y procesos de negocio están dentro del alcance de la gestión de la exposición.
01.2Los responsables de negocio, no solo seguridad, acordaron qué se considera un activo crítico.
01.3El alcance se revisa y ajusta con una cadencia definida, como mínimo trimestral.
01.4La superficie de ataque externa, el SaaS y la identidad están explícitamente incluidos o excluidos, no quedan sin definir.

02 Descubrimiento 0 de 4

02.1Mantenemos un inventario de activos que concilia varias fuentes (escáner, nube, EDR, CMDB) y señala los desconocidos.
02.2El descubrimiento cubre configuraciones incorrectas, credenciales expuestas y debilidades de identidad, no solo CVE.
02.3Los activos expuestos a internet se enumeran de forma continua, incluidos los subdominios olvidados y el shadow IT.
02.4Las vías de acceso de terceros y proveedores a nuestro entorno se descubren y registran.

03 Priorización 0 de 4

03.1Las exposiciones se clasifican por su explotabilidad en nuestro entorno y su impacto en el negocio, no por la puntuación de severidad en bruto.
03.2Usamos análisis de rutas de ataque o un razonamiento equivalente para ver cómo se encadenan las exposiciones hasta los activos críticos.
03.3La inteligencia de amenazas sobre explotación activa (por ejemplo, CISA KEV) alimenta la priorización automáticamente.
03.4Los controles compensatorios existentes se tienen en cuenta antes de escalar una exposición.

04 Validación 0 de 4

04.1Las exposiciones de máxima prioridad se validan como realmente explotables antes de dedicar esfuerzo de remediación.
04.2Comprobamos si los controles de detección y respuesta se activan cuando se explota una exposición.
04.3La validación usa herramientas (simulación de brechas y ataques, pentesting automatizado) y no solo pruebas manuales anuales.
04.4Los resultados de la validación cambian las prioridades: los hallazgos no explotables se rebajan y se documentan.

05 Movilización 0 de 4

05.1Cada exposición priorizada tiene un responsable designado fuera del equipo de seguridad y una fecha objetivo.
05.2La remediación se sigue hasta el cierre, midiendo el tiempo de corrección por clase de exposición.
05.3Los hallazgos llegan a los equipos de remediación a través de sus propias herramientas de flujo de trabajo, no por hojas de cálculo ni correo.
05.4El progreso se comunica a la dirección en términos de negocio (riesgo reducido, procesos protegidos), no en recuentos de vulnerabilidades.