Blog
Cómo hacer una autoevaluación de madurez CTEM en una tarde
Una autoevaluación CTEM falla casi siempre de la misma manera: quien la rellena puntúa el programa que pretende tener. La solución no es un cuestionario más ingenioso. Es una sesión breve, las personas adecuadas en la sala y una regla: toda respuesta alta necesita algo que se pueda mostrar.
Este artículo describe cómo llevar a cabo esa sesión en media jornada, con las herramientas del propio sitio. Se da por supuesto que se conocen los fundamentos de Qué es CTEM; si no, conviene leerlo antes.
Antes de empezar: dos minutos con la comprobación rápida
La comprobación rápida plantea cinco preguntas, una por fase, e indica qué fase parece la más débil. Conviene hacerla en solitario y al principio, sin debate. Es una prueba de humo, no una puntuación: con una sola afirmación por fase solo puede señalar dónde mirar. Anotar la fase más débil y compararla después con el resultado completo.
A quién invitar
Cuatro personas bastan:
- Quien gestiona el escaneo de vulnerabilidades o las herramientas de exposición.
- Alguien de infraestructura o de ingeniería de aplicaciones que reciba los tickets. Sabe si los tickets tienen responsable y fecha.
- Alguien que pueda hablar por el negocio en materia de alcance, como un responsable de servicio o de riesgos.
- La persona que informa a la dirección.
Si en la sala solo está el responsable de seguridad, lo que se mide es la opinión del responsable de seguridad. La movilización no se puede puntuar sin alguien de los equipos que realizan las correcciones.
La sesión, paso a paso
1. Leer la escala en voz alta (5 minutos). La evaluación completa tiene veinte afirmaciones, cuatro por fase, que se responden en una escala de cinco puntos: Nada cierto, Rara vez cierto, A veces cierto, Cierto en su mayor parte, Totalmente cierto. Primero hay que acordar el significado: «Totalmente cierto» quiere decir que hoy mismo se podría mostrar la evidencia, no que esté previsto.
2. Responder fase por fase, en el orden de las fases (unas dos horas). Las afirmaciones se tratan en grupo y se deja que las personas discrepen. Cuando dos personas dan respuestas distintas, se usa la más baja y se anota el motivo. Si nadie dejó por escrito qué entra en el alcance, un «Cierto en su mayor parte» en descubrimiento describe un alcance que no existe.
3. Exigir evidencia para cualquier respuesta por encima de «A veces cierto». Para cada respuesta alta, preguntar qué se entregaría a un auditor. Una declaración de alcance firmada, un informe de conciliación, un registro de validación, un gráfico de tiempo de cierre. «Lo hacemos de manera informal» significa una puntuación más baja. El artículo sobre el modelo de madurez enumera la evidencia esperada en cada nivel para cada fase.
4. Enviar y leer el resultado (30 minutos). La evaluación da una puntuación por fase y una cifra global. No conviene detenerse en el número global. Hay que mirar la forma del resultado.
5. Convertir el resultado en tres acciones (aproximadamente una hora). La evaluación recomienda hasta tres afirmaciones en las que actuar primero, empezando por las respuestas más bajas y la fase con menor puntuación. Tomarlas como punto de partida del siguiente ciclo en lugar de intentar corregirlo todo.
Cómo se calcula la puntuación
Cada respuesta vale de 0 a 4 puntos. La puntuación de una fase es el porcentaje de puntos obtenidos sobre el máximo de esa fase, de modo que cuatro afirmaciones dan un máximo de 16. La puntuación global es la media de las cinco puntuaciones por fase. La evaluación indica cuál es la fase más débil; si hay un empate, lo dice y sugiere un primer paso para cada una.
Como la cifra global es una media, una fase muy fuerte puede ocultar una muy débil. Por eso la forma importa más que el total.
Qué significan los niveles
La puntuación global corresponde a una de cinco franjas. Cada una incluye una breve orientación en la evaluación.
| Puntuación | Nivel | Qué indica |
|---|---|---|
| 0 a 20 | Inicial | El trabajo sobre la exposición es reactivo y lo dirige el escáner. Empezar por acotar un área delimitada y ejecutar un único ciclo deliberado. |
| 21 a 40 | En desarrollo | Las piezas existen, pero no están conectadas. Centrarse en la priorización por ruta de ataque y en nombrar a los responsables de las correcciones. |
| 41 a 60 | Definido | Hay un ciclo repetible. Añadir validación para que las prioridades se demuestren en lugar de suponerse. |
| 61 a 80 | Gestionado | Las exposiciones se priorizan, se validan y se siguen. Insistir en los informes en lenguaje de negocio y en ampliar el alcance. |
| 81 a 100 | Optimizado | El programa es continuo y medido. Concentrarse en el tiempo de ciclo, las carencias de cobertura y la automatización. |
Las franjas son gruesas a propósito. Dos programas con 58 y 62 puntos no se diferencian de forma significativa; lo que cambia es qué fases suben o bajan cada media.
Interpretación de las cinco fases
Alcance. Las puntuaciones bajas indican que el programa no tiene un límite acordado, así que todas las fases posteriores miden algo indefinido. La corrección empieza por una declaración de alcance de una página aprobada por un responsable de negocio.
Descubrimiento. Las puntuaciones bajas indican que los activos desconocidos siguen siéndolo, o que el descubrimiento solo cubre CVE. El primer paso es conciliar al menos dos fuentes y hacer seguimiento de los activos que solo ve una de ellas.
Priorización. Las puntuaciones bajas indican que la lista de remediación sigue ordenada por puntuación de gravedad. El primer paso es añadir dos campos a cada hallazgo: alcanzable desde la posición de un atacante y activo crítico en la ruta.
Validación. Esta fase suele puntuar más bajo, porque normalmente requiere herramientas o un hábito nuevo, no un documento. Para empezar basta con validar las cinco exposiciones principales de cada ciclo.
Movilización. Las puntuaciones bajas indican que los hallazgos salen de seguridad y desaparecen. Si no se puede decir quién es responsable de una corrección ni para cuándo, las fases anteriores no están produciendo resultados. Consultar las métricas de CTEM para saber qué informar cuando la asignación de responsables funcione.
Un descubrimiento alto con una validación baja describe un programa que encuentra mucho y demuestra poco, que es la distancia entre CTEM y la gestión de vulnerabilidades.
Después de la sesión
- Registrar el resultado. La evaluación puede guardarlo asociado a una dirección de correo electrónico para poder comparar el siguiente, y se puede imprimir o guardar como PDF. Anotar la fecha y la evidencia de cada respuesta alta.
- Elegir un alcance para un ciclo. Si el resultado fue Inicial o En desarrollo, Cómo iniciar un programa CTEM en 90 días es el camino práctico.
- Repetir dentro de uno o dos trimestres. Cabe esperar un avance de aproximadamente un nivel cada dos o tres ciclos, no uno por trimestre.
- Si la carencia está en las herramientas, el directorio de proveedores muestra qué plataformas cubren qué fases, y la guía de herramientas explica cómo interpretarlo.
La comprobación rápida lleva dos minutos y la evaluación completa abarca las veinte afirmaciones. Hacer ambas, comparar y discutir la diferencia.