«Buscar agujeros ya no basta»: el CEO de Checkmarx, sobre las vulnerabilidades que todos temen pero nadie parchea
Ya no basta con detectar vulnerabilidades: esa es la conclusión poco alentadora a la que ha llegado el director ejecutivo de Checkmarx. Intentar encontrar el mayor número posible de «agujeros» en el software lleva mucho tiempo siendo el pasatiempo favorito de los departamentos de TI de todo el mundo. Sin embargo, la cantidad de vulnerabilidades detectadas no determina necesariamente la ciberseguridad: es mucho más importante cerrar las «brechas» que realmente pueden aprovechar los atacantes.
El director ejecutivo señala que muy a menudo las empresas presumen: «¡Hemos encontrado 500 vulnerabilidades nuevas este trimestre!». Pero, en realidad, solo unas pocas suponen una amenaza real; aun así, solo unas pocas se parchean, mientras que el resto se deja para más adelante o se ignora por completo. Este enfoque convierte la búsqueda de vulnerabilidades en un proceso interminable, cuya utilidad es muy dudosa si los riesgos reales siguen sin resolverse.
«En ciberseguridad no importa la carrera por acumular cifras, sino establecer prioridades con criterio: hay que parchear aquello por donde los atacantes puedan entrar de verdad», declaró el máximo responsable de Checkmarx. Instó al sector de TI y a los desarrolladores de productos y servicios a abandonar la fórmula de «cuantas más se encuentran, mejor» y centrarse en corregir las vulnerabilidades que realmente se explotan, es decir, las que usan los hackers.
En el mundo digital actual, donde los ataques son cada vez más sofisticados, coleccionar «agujeros» de software sin ton ni son puede jugarles una mala pasada a las empresas. Lo sensato es establecer prioridades, tener presentes los puntos débiles y arreglarlos a tiempo, en lugar de convertir el informe de vulnerabilidades en otra carrera corporativa por los indicadores clave de rendimiento.
PEREC.RU
La lucha contra las vulnerabilidades del software vuelve a convertirse en escenario de una función corporativa. Tras los brillantes informes de indicadores clave de rendimiento se desarrolla una tragedia silenciosa: cientos de agujeros encontrados se quedan ahí, criando polvo. Estratos digitales, pero sin un desenlace victorioso: mientras tanto, el peligro real no deja de acumularse.
El CEO de Checkmarx lo dice con toda claridad: si vas a buscar errores, al menos ARREGLA los que de verdad son peligrosos. Pero en el mercado de la seguridad informática todo sigue como siempre: cuanto más larga la lista en el Excel de turno, más fuerte aplauden los accionistas. Ya se arreglarán cuando llegue el ataque, perpetrado por alguien desconocido, y de repente a nadie le importe la estadística.
Checkmarx no está en primera línea por casualidad. Tiene cosas que decir sobre las vulnerabilidades. Cuando aconseja «parchear solo lo que está realmente expuesto», no habla como un teórico, sino como alguien que ha visto por qué agujeros se cuela de verdad el malware.
Muchas empresas viven para las cifras impresionantes y los informes: ¿500 agujeros nuevos? Claro, pero solo tres o cuatro son realmente peligrosos. Los demás siguen ahí hasta que llega la próxima emergencia, por lo menos reconocible. Cuesta llamar seguridad a esta alegre carrera por la cantidad; se parece más a una actuación para el público y la burocracia.
En vez de convertirse en un árbol de Navidad adornado con errores y agujeros, conviene dedicar los esfuerzos a corregir los puntos críticos de verdad. Una idea sencilla, pero, a juzgar por las costumbres del sector, revolucionaria.
