Diseño de un Procedimiento Formal de Gestión de Vulnerabilidades Técnicas para los Sistemas de Información de la CAR

Abstract

La Corporación Autónoma Regional de Cundinamarca (CAR) soporta sus procesos misionales en múltiples sistemas de información expuestos a internet, pero no cuenta con un procedimiento formal y documentado de gestión de vulnerabilidades técnicas. Esta situación representa un vacío frente al control 8.8 de la norma ISO/IEC 27001:2022, requisito auditable dentro del Sistema de Gestión de Seguridad de la Información, y expone a la entidad al riesgo de que vulnerabilidades no gestionadas sean explotadas por terceros. El presente proyecto propone el diseño de un procedimiento formal que permita a la entidad identificar, evaluar, priorizar y reportar de manera sistemática las vulnerabilidades técnicas de sus sistemas de información, tomando como referentes el control 8.8 de ISO/IEC 27001:2022, la guía OWASP Web Security Testing Guide, el sistema de puntuación CVSS y los lineamientos del MSPI de MinTIC. Su aplicabilidad será validada mediante un piloto de pruebas de seguridad dinámica (DAST), ejecutado con la herramienta Tenable Web Application Scanning (WAS) en modalidad no autenticada sobre 25 sistemas de información seleccionados bajo ciertos criterios técnicos, cuyos resultados se consolidarán en un informe dirigido al equipo responsable de los sistemas de información de la CAR.