Qué mide la puntuación y qué no
El Security Score evalúa la superficie de ataque visible desde fuera de sus dominios. Se refiere a todo lo que también puede ver un tercero sin credenciales: su sitio web, sus servidores de correo, sus registros DNS y la reputación de sus direcciones. De ahí resultan las categorías seguridad de red, seguridad de aplicaciones, DNS, reputación IP, seguridad del correo electrónico y fugas de datos, cada una con su propio valor de 0 a 100.
Se trata, a propósito, de una visión externa. Los atacantes empiezan por ahí, y muchos incidentes se deben a errores de configuración sencillos: cabeceras de seguridad ausentes, una autenticación de correo débil, software obsoleto en un servidor olvidado. Estos hallazgos suelen corregirse rápido cuando se conocen.
Lo que la puntuación no mide es igual de importante. No ve lo que hay detrás del inicio de sesión, cómo está formado su personal ni si sus copias de seguridad funcionan. No sustituye ni una prueba de penetración ni un sistema de gestión. Una buena nota significa una visión externa limpia, no una empresa segura. Por eso, en Sightadel la puntuación figura junto al avance en cumplimiento de cada framework, no en su lugar.
Cómo trabajar los problemas
Empiece por los problemas que más impacto tienen. La lista se puede filtrar por gravedad, y cada problema muestra su impacto en la puntuación. Primero van los hallazgos críticos y altos; después, los medios. Los bajos e informativos los trabaja cuando haya tiempo, o decide conscientemente ignorarlos.
Abra cada problema en la vista de detalle. Allí figuran la descripción, los detalles de la detección, los activos afectados y una propuesta de corrección. Compruebe primero si el activo afectado sigue siendo suyo y se sigue necesitando. A veces la mejor corrección es desactivar un servicio antiguo.
Cambie el estado a «En curso» en cuanto alguien se ocupe de él. Para cambios de mayor alcance, cree un plan de acción con responsable y plazo y vincúlelo al control correspondiente. Cuando el problema esté corregido, márquelo como tal. Un nuevo análisis confirma la corrección antes de cerrar el problema.
Si en su caso un hallazgo es intencionado, márquelo como «Ignorado» y justifique la decisión. Así la puntuación sigue siendo honesta y la decisión, trazable.
Comunicar bien la puntuación
Un valor de 0 a 100 y una nota de la A a la F son más fáciles de entender para la dirección que una lista con nombres de cabeceras. Aprovéchelo, pero explique el valor. Más importante que la cifra en sí es su evolución. El historial de 7, 30, 60 y 90 días o de un año muestra si la situación mejora.
Comunique la puntuación junto con las categorías. Un buen valor global puede ocultar una seguridad del correo sólida y una seguridad de aplicaciones débil. Las categorías muestran dónde está el problema y quién es responsable: desarrollo web, operación del correo o red.
No convierta la puntuación en un fin en sí misma. Quien solo mira la cifra siente la tentación de ignorar los hallazgos incómodos. Tiene más sentido un objetivo como este: los problemas críticos y altos no permanecen abiertos más allá de un plazo fijado, que usted establece en su política.
Hacia fuera, muestra el estado a través del Trust Center. El sello de Sightadel enlaza allí con su ficha de puntuación. Así, los clientes ven que sus datos proceden de un sistema bien mantenido.
Qué deducen de ello los auditores
En la gestión de vulnerabilidades, un auditor no comprueba si usted no tiene vulnerabilidades. Nadie está libre de ellas. Comprueba si tiene un proceso para detectarlas, evaluarlas y tratarlas, y si ese proceso se aplica.
El Security Score aporta pruebas para ello. La lista de problemas muestra cuándo se detectó un hallazgo por primera y por última vez, qué estado tiene y cómo influye en la puntuación. Un plan de acción vinculado al control muestra cómo el hallazgo técnico se convirtió en una medida gestionada. El historial de la puntuación muestra el efecto a lo largo del tiempo.
Vele por la coherencia con sus documentos. Si su política establece que las vulnerabilidades críticas se corrigen en un plazo determinado, el auditor querrá ver ejemplos. Los hallazgos ignorados sin justificación también llaman la atención.
También aquí es importante delimitar. La visión externa solo cubre una parte de la gestión de vulnerabilidades. Los sistemas internos, los puestos de trabajo y las aplicaciones tras el inicio de sesión necesitan revisiones propias. Sus resultados se archivan como evidencia en la biblioteca.
