Metodología para la optimización en la gestión de vulnerabilidades en Banco del Occidente
Abstract
El presente documento plantea una metodología que permite priorizar el orden de
remediación de las vulnerabilidades identificadas en los sistemas de los activos de
información al interior del Banco de Occidente, las cuales fueron previamente
halladas por la herramienta de software (QRADAR11), sin embargo la información
arrojada por dicho sistema es insuficiente para facilitar la gestión de
vulnerabilidades encontradas y se hace necesario realizar esfuerzos adicionales
con el fin de remediar los hallazgos encontrados, para ello se dará a conocer la
importancia de realizar una priorización de dichas vulnerabilidades con el fin de
minimizar de forma objetiva el tiempo de exposición de las vulnerabilidades más
críticas para la entidad.
La gestión de vulnerabilidades es el tratamiento que se realiza a las plataformas
tecnológicas, con el fin de mitigar los riesgos de materialización de ataques a los
sistemas; estas se centran en llevar a cabo procesos de identificación,
clasificación y mitigación de amenazas.
Dentro de las compañías que gestionan vulnerabilidades de seguridad informática,
quien tiene una propuesta de valor respecto a priorización de amenazas es RAN
SECURITY12, esta compañía se especializa en realizar escaneos de
vulnerabilidades en diferentes entornos. De acuerdo a la investigación realizada
por la compañía RAN SECURTIY el número de hallazgos encontrados por gestión
va de decenas a cientos. Sin embargo, se desconoce si RAN SECURITY tiene
establecido un plan de acción por segmento económico, la dinámica que utiliza
para dar un valor agregado al que brindan los sistemas de gestión de
vulnerabilidades tradicionales.
Mediante la circular 029 emitida por la Superintendencia Financiera de Colombia,
se establecen los requerimientos mínimos de seguridad que están obligados a
cumplir las entidades del sector financiero colombiano, dicha circular establece
que realicen como mínimo dos escaneos de vulnerabilidades anuales
