Blog
Cómo iniciar un programa CTEM en 90 días
Noventa días bastan para ejecutar un ciclo completo de exposición sobre un alcance acotado y salir con evidencia de que el enfoque funciona. No bastan para construir un programa, comprar una plataforma y cubrir todo el parque, y cualquier plan que prometa eso es un plan para fracasar despacio.
El objetivo al día 90 es modesto y concreto: un alcance firmado, un inventario conciliado para ese alcance, una lista ordenada de exposiciones, diez de ellas validadas, la mayoría corregidas y un informe de una página con números. En los términos de nuestro modelo de madurez, eso es un programa Definido para una porción de la organización.
Antes de la semana uno: la decisión que más importa
Elija un alcance acotado, visible y con un responsable de negocio evidente. La superficie de ataque externa es la elección habitual porque se puede enumerar desde fuera, el responsable es fácil de localizar y los hallazgos son fáciles de explicar. La alternativa son los sistemas que sostienen un proceso de ingresos, más difíciles de enumerar pero que generan una mejor conversación con el negocio.
No elija «el parque». No elija «activos críticos» hasta que alguien ajeno a seguridad haya dicho cuáles son.
Resista la tentación de comprar nada antes de la semana ocho. Descubrirá qué herramientas le faltan de verdad al ejecutar el primer ciclo con lo que tiene, y la guía de herramientas tendrá más sentido después.
El plan
| Semanas | Fase | Qué se hace | Resultado |
|---|---|---|---|
| 1 a 2 | Alcance | Nombrar el alcance, el patrocinador, el responsable de negocio y los responsables de corrección. Dejarlo por escrito. | Declaración de alcance de una página, firmada |
| 3 a 4 | Descubrimiento | Extraer todas las fuentes que ven el alcance. Conciliar. Perseguir los desconocidos. | Inventario con recuentos por fuente y una lista de desconocidos |
| 5 a 6 | Priorización | Ordenar por alcanzabilidad, ruta hacia un activo crítico, explotación activa, controles existentes. A mano. | Lista ordenada con razones, los diez primeros acordados |
| 7 a 8 | Validación | Probar los diez primeros de forma segura. Registrar qué fue explotable y qué se disparó. | Registro de validación, rebajas documentadas |
| 9 a 11 | Movilización | Tickets con responsable y fecha. Seguimiento hasta el cierre. Volver a probar las correcciones. | Tickets cerrados, tiempo de cierre por elemento |
| 12 a 13 | Medir e informar | Cinco números, una página y el alcance del ciclo dos. | Informe a dirección, alcance del siguiente ciclo |
Semanas 1 a 2: alcance
Redacte una declaración de alcance de una página. Nombra los sistemas y entornos dentro del alcance, el proceso de negocio que sostienen, el patrocinador, el responsable de negocio que acordó el ranking de criticidad y los responsables de corrección para cada clase de sistema. También enumera lo que queda fuera: SaaS, identidad, acceso de terceros, lo que se esté aplazando, y por qué.
Consiga que el responsable de negocio la firme. Suena ceremonial y no lo es. Es el documento que señalará en la semana diez cuando se dispute un ticket de remediación.
Las personas que necesita en la sala: un patrocinador con presupuesto, normalmente el CISO; un líder de programa que sea dueño del ciclo; quien lleve hoy la gestión de vulnerabilidades; el responsable de infraestructura o plataforma del alcance; y el responsable de negocio. Para un alcance externo, añada a quien gestione el DNS y las cuentas cloud.
Semanas 3 a 4: descubrimiento
Reúna todas las fuentes que ven el alcance: el escáner de vulnerabilidades, el inventario y los hallazgos de postura del proveedor de nube, las listas de agentes EDR, la CMDB, los registros DNS, los registros de transparencia de certificados y, para un alcance externo, un escaneo desde fuera. Las herramientas gratuitas y de bajo coste son adecuadas para un primer ciclo.
Concilie. El número a anotar es el recuento de activos vistos por una fuente y no por otra. Será mayor de lo que nadie esperaba, y es su primera métrica honesta. Cada desconocido se convierte en un ticket para clasificarlo o retirarlo.
Incluya desde el principio exposiciones sin CVE: interfaces de gestión expuestas, credenciales por defecto, roles cloud con permisos excesivos, cuentas de administrador obsoletas. Si el descubrimiento solo produce CVE, el ciclo solo corregirá CVE.
Semanas 5 a 6: priorización
Ordene a mano en el primer ciclo. Es lento, y enseña exactamente qué datos faltan.
Para cada hallazgo, registre cuatro cosas: si es alcanzable desde donde empezaría un atacante; si está en una ruta hacia algo que el responsable de negocio calificó de crítico; si se está explotando activamente, usando el catálogo CISA KEV y EPSS; y si existe un control que lo bloquearía. Ordene por esos criterios antes de mirar el CVSS.
Acuerde los diez primeros con el responsable de negocio y los responsables de corrección. Su desacuerdo es información útil; anote el porqué.
Semanas 7 a 8: validación
Valide los diez primeros. Para un alcance externo se trata de una prueba dirigida a cada servicio expuesto: si se puede alcanzar, si se puede explotar, a qué da acceso. Para alcances internos, un encargo corto a un pentester o una prueba piloto de una herramienta automatizada cumplen la función.
Registre dos resultados por elemento: si fue explotable y si algo se disparó. Una exposición validada que nadie detectó son dos hallazgos, y el segundo suele ser el más importante.
Espere sorpresas en ambas direcciones. Algunos de los diez primeros no serán explotables, y rebajarlos es una victoria. Otros serán peores de lo que el escáner sugería.
Semanas 9 a 11: movilización
Abra un ticket por cada exposición validada en la herramienta de flujo de trabajo propia del responsable de corrección. Cada ticket tiene un responsable designado ajeno a seguridad y una fecha objetivo. Niéguese a abrir uno sin ambos.
Haga seguimiento semanal. Cuando se informe de que una corrección está cerrada, vuelva a probarla antes de contabilizarla. Registre los días desde la validación hasta el cierre verificado para cada elemento; esa es su línea base de tiempo de cierre.
Algunas correcciones no llegarán dentro de la ventana. No pasa nada. Registre por qué, y si fue capacidad, desacuerdo o una congelación de cambios. Esas razones son el pliego de diseño del ciclo dos.
Semanas 12 a 13: medir, informar, ampliar
Escriba una página. Cinco números: exposiciones validadas abiertas, tiempo mediano de cierre, procesos críticos sin ruta de ataque validada, cobertura del alcance y tasa de validación. El artículo sobre métricas define cada uno. Añada un párrafo sobre qué cambió y otro sobre qué cubrirá el ciclo dos.
Después amplíe. Añada un alcance adyacente, no cinco. Añada una fuente de descubrimiento que le faltaba. Decida, con la evidencia del ciclo, si necesita una herramienta y para qué fase.
Modos de fallo habituales
Ampliación del alcance en la semana uno. Alguien añade identidad, SaaS y el parque cloud porque son importantes. Lo son, y estarán en el ciclo tres.
Comprar primero la plataforma. La plataforma llega, la integración lleva un trimestre y el programa se convierte en el despliegue de la plataforma. Ejecute un ciclo con lo que tiene y compre para la carencia.
Saltarse la validación porque no hay herramienta. Una persona puede validar diez elementos en dos semanas. La fase no es opcional; es la que separa el programa de la gestión de vulnerabilidades.
Tickets sin responsable. Seguridad los abre, seguridad los sigue, seguridad los cierra. Nada cambia.
Informar con recuentos. «Encontramos 3.400 hallazgos y corregimos 900» no dice a la dirección nada sobre lo que pueda actuar. Informe de los cinco números.
Tratarlo como un proyecto. El ciclo uno termina el día 90. El ciclo dos empieza el día 91 con un alcance más amplio. Si el calendario no tiene ya el ciclo dos, era un proyecto.
Siguiente
Haga la comprobación rápida antes de la semana uno para saber qué fase le resultará más difícil, y lea Qué es CTEM si alguna de las cinco fases no le resulta familiar. La evaluación completa puntúa las cinco fases, y el directorio de proveedores sirve cuando sepa qué carencia cubrir.