En este post vamos a trabajar tres indicadores de ciberseguridad y ver como puede llegar a afectar los activos de tu infraestructura tecnológica.
El primer indicador es MTTD y está relacionado con el tiempo que te demoras en detectar una vulnerabilidad en la infraestructura de tu organización y me refiero a todos los equipos conectados a la red interna, la nube, sedes remotas, datacenter alterno y los equipos en teletrabajo (puede haber otros sitios dependiendo de la arquitectura de red de la organización).
Entre más rápido detectes una vulnerabilidad, más rápido puedes trabajar en un plan de remediación. Este indicador deberá ser lo más corto posible, puedes comenzar con un análisis de vulnerabilidades cada treinta días y a medida que vayas madurando el proceso deberás llegar a siete días o menos.
El segundo indicador es MTTR y corresponde al tiempo que vas a demorar en remediar la vulnerabilidad. Aquí tenemos que hacer una bifurcación entre los equipos críticos como servidores y equipos de red, y los no tan críticos como lo son las estaciones de trabajo.
Para los equipos no críticos es más fácil la remediación porque en la mayoría de los casos no requieren de laboratorios de pruebas para verificación de no afectación del servicio. Este tiempo puede iniciar en quince días y madurar el proceso para que tome máximo siete días. Para el caso de los equipos críticos, el tiempo recomendado es de tres semanas, dependiendo de la criticidad de la infraestructura. Debes tratar de reducir este tiempo lo máximo posible en aras de proteger la información.
El tercer indicador es AWOE, corresponde al tiempo transcurrido desde que una vulnerabilidad se hace pública y el tiempo del cierre de la vulnerabilidad, en términos prácticos, es la suma de los dos indicadores anteriores. Para equipos no críticos deberá estar al rededor del los quince días y para equipos críticos al rededor de los treinta días.
La base de estos indicadores es la frecuencia del análisis de vulnerabilidades y el rápido tratamiento de los resultados hallados. Recomendado, un análisis mensual y madurar el proceso hasta llegar a un análisis cada siete días o menos, como siempre depende de la criticidad de la información.
Recuerda que no todas las organizaciones son iguales por lo que lo sugerido, está basado en las recomendaciones de expertos y se deben de ajustar a los requerimientos de cada una, teniendo en cuenta que entre más altos sean estos indicadores, mayor va a ser la exposición al riesgo.
“Lo que no se mide no se puede mejorar”. William Thomson Kelvin
