Puntos clave
- El rápido aumento de las vulnerabilidades y la detección basada en la IA están reduciendo el tiempo que transcurre entre la divulgación de una vulnerabilidad y su explotación activa.
- Los ciclos de aplicación de parches regulares y disciplinados ayudan a reducir la vulnerabilidad general y a prepararse para nuevas vulnerabilidades (CVE).
- La recuperación es clave para la resiliencia, pero tiene que ir acompañada de la aplicación oportuna de parches para solucionar las vulnerabilidades.
- Las organizaciones deberían usar la IA para acelerar la detección y la corrección de vulnerabilidades, en lugar de dejar que los problemas se acumulen en las listas de tareas pendientes.
- Los proveedores que desempeñan un papel fundamental ofrecen a los clientes información rápida y transparente sobre las vulnerabilidades, así como instrucciones claras para solucionarlas.
El año pasado, los informes del sector situaban el volumen anual de CVE en decenas de miles, y el NIST señaló posteriormente un crecimiento récord de los CVE y un aumento del 263 % en el número de notificaciones entre 2020 y 2025.
Sé perfectamente cómo afecta eso a un equipo de seguridad en tiempo real, porque estoy en las llamadas cuando pasa. Las preguntas de siempre —¿cuál es nuestra vulnerabilidad y cuánto tardamos en solucionarla?— solían tener un margen de maniobra. Ahora llegan más rápido de lo que la mayoría de los equipos pueden asignar personal para resolverlas. La mayoría de las organizaciones cuentan con procesos de respuesta ante vulnerabilidades. Sin embargo, son pocas las que tienen procesos diseñados para actuar con esta rapidez. Durante años, el sector organizó su respuesta en torno a vulnerabilidades individuales. Se publicaba un CVE, seguían las puntuaciones de gravedad, se completaba la información y los equipos realizaban una clasificación con cierto margen de discreción. Ese ritmo se basaba en un ritmo humano de descubrimiento, pero esa suposición ya no se sostiene. Ese volumen ya está desbordando la infraestructura creada para hacer un seguimiento. El NIST ha dicho que la Base de Datos Nacional de Vulnerabilidades está pasando a un modelo de enriquecimiento basado en el riesgo porque las notificaciones de CVE han crecido más rápido de lo que el programa puede procesarlas por completo.
Es probable que la IA esté agravando la presión al ayudar a los atacantes a aprovechar las vulnerabilidades, y a los defensores a identificarlas y validarlas más rápido de lo que los procesos de catalogación tradicionales pueden asimilar. El margen de tiempo entre el momento en que se descubre una vulnerabilidad y el momento en que se aprovecha se está reduciendo, y puede aparecer código de explotación funcional antes de que se implemente ampliamente un parche. Esto rompe el modelo antiguo. La gestión estructurada de vulnerabilidades sigue siendo importante, pero muchos programas están pensados para una época más tranquila: recopilar datos, clasificar los riesgos, asignar responsables y, por último, aplicar las medidas correctivas. Cuando la detección se acelera tanto, hasta los equipos más disciplinados se quedan atrás porque el modelo operativo no puede absorber todo ese volumen lo suficientemente rápido. Eso rompe con el modelo antiguo.
Parche en un reloj
Empieza por la cadencia. Las operaciones más resilientes que conozco han dejado de ver las correcciones como una interrupción y han empezado a tratarlas como mantenimiento rutinario: programadas semanalmente, con una responsabilidad clara y evaluadas como cualquier otro compromiso operativo. Una cadencia predecible ayuda a reducir el periodo de exposición en todo el entorno informático y a eliminar el «sobrecoste por pánico» que supone cualquier divulgación concreta. Cuando las actualizaciones se hacen cada semana, las organizaciones están preparadas para las vulnerabilidades (CVE).
La cadencia no significa tratar todo por igual. Una vulnerabilidad que se está explotando activamente, de esas que acaban en el Catálogo de vulnerabilidades explotadas de la CISA, sigue mereciendo una respuesta inmediata y fuera de la rutina. El calendario semanal gestiona el aluvión de incidencias como algo rutinario, para que las verdaderas emergencias reciban la atención que merecen en lugar de tener que competir con el ruido de fondo.
Soluciona la vulnerabilidad, no solo el problema
Esta es la parte que Recovery no puede solucionar por sí sola. Si una vulnerabilidad pone en riesgo un activo, restaurar ese activo sin cerrar la vulnerabilidad solo vuelve a poner el contador a cero. La vulnerabilidad sigue ahí, a la espera del siguiente intento. Recovery es importante, pero no sustituye al cierre del agujero que permitió la entrada del actor malintencionado.
Esto significa que el verdadero trabajo debe realizarse antes, en el momento en que se detectan y se corrigen las vulnerabilidades. La IA está cambiando esa ecuación en ambos frentes. Los mismos modelos que ayudan a un atacante a detectar un punto de explotación pueden ayudar a un proveedor a encontrarlo primero. El equipo de ingeniería de Commvault utiliza la IA en nuestro propio código para detectar vulnerabilidades antes de que se lancen, y aplicamos la IA para ayudar a resolver lo que encontramos, en lugar de dejarlo en la lista de tareas pendientes. Una vulnerabilidad que se queda en la cola durante semanas porque a un equipo se le acabó la capacidad sigue siendo una vulnerabilidad. La rapidez en la detección no sirve de nada sin rapidez en la resolución.
Pide más a tus proveedores
Cuando el tiempo que transcurre entre el descubrimiento de una vulnerabilidad y su explotación se mide en horas, los clientes no pueden permitirse enterarse de una vulnerabilidad en el producto de su proveedor a través de un tercero. Necesitan que se lo comunique el propio proveedor, cuanto antes, en un lenguaje sencillo, con una respuesta directa a las preguntas «¿Me afecta?» y «¿Qué debo hacer primero?». Pregunta a cada proveedor clave con qué rapidez divulga la información, cómo notifica a los clientes afectados, qué pruebas proporciona para la corrección y cómo pueden los clientes comprobar que la vulnerabilidad se ha solucionado. La transparencia en materia de vulnerabilidades forma parte de la resiliencia.
La era de la IA de vanguardia no la ganará quien presente menos vulnerabilidades. Toda empresa de software seria divulgará más. La ventaja será para quien considere la aplicación de parches como una disciplina permanente y trate la recuperación como la disciplina que permite sobrevivir a una ventana de oportunidad perdida.
Preguntas frecuentes
P: ¿Por qué se está acortando el plazo entre el descubrimiento de una vulnerabilidad y su explotación?
R: Es probable que la IA esté agravando la presión al ayudar a los actores maliciosos a explotar las vulnerabilidades, y a los defensores a identificarlas y validarlas más rápido de lo que los flujos de trabajo de catalogación tradicionales pueden asimilar. Como resultado, el código de explotación puede estar disponible antes de que muchas organizaciones hayan tenido tiempo de implementar los parches.
P: ¿Por qué cada vez son más importantes los ciclos semanales de parches? R: Un calendario semanal constante de parches ayuda a reducir la exposición de la organización a vulnerabilidades conocidas. Además, permite a los equipos de seguridad centrar su atención inmediata en las amenazas que se están explotando activamente y prepararse para los nuevos CVE. P: ¿Es suficiente la Recovery para protegerse contra los ciberataques? R: No. Recovery ayuda a las organizaciones a restablecer las operaciones tras un incidente, pero restaurar los sistemas sin abordar la vulnerabilidad subyacente las deja expuestas a futuros ataques. Una resiliencia eficaz requiere tanto una corrección rápida como una Recovery fiable. P: ¿Cómo puede la IA ayudar a mejorar la gestión de vulnerabilidades? R: La IA puede ayudar a identificar las vulnerabilidades antes, priorizar las medidas de corrección y acelerar el proceso de resolución. Esto ayuda a los equipos de seguridad e ingeniería a responder más rápido, en lugar de dejar que las vulnerabilidades se queden sin resolver en largas listas de tareas pendientes.
P: ¿Qué deberían preguntar las empresas a sus proveedores de software sobre la gestión de vulnerabilidades? R: Las empresas deberían preguntar con qué rapidez informan los proveedores de las vulnerabilidades, cómo se avisa a los clientes afectados, qué instrucciones de corrección se ofrecen y cómo pueden los clientes comprobar que el problema se ha solucionado por completo. La comunicación transparente es una parte importante de la ciberresiliencia.
Rajiv Kottomtharayil es director de productos de Commvault.