ISO/IEC 27002, control 8.8

El control 8.8 se resume en tres cosas que una organización debe hacer con las vulnerabilidades técnicas de los sistemas que usa. Primero, obtener información sobre ellas. Segundo, evaluar cuánto la expone cada una. Tercero, tomar medidas apropiadas.

Observa lo que no dice: no nombra un escáner, no fija un plazo y no exige un número de parches. Por eso la auditoría contra 8.8 se hace con preguntas de proceso y con evidencia de que ese proceso se aplicó. La guía de implementación completa de la norma es de pago; esta sala trabaja con una ficha de resúmenes propios.

Consulta ficha_8_8. La norma etiqueta cada control con atributos: de qué tipo es, a qué conceptos de ciberseguridad responde, a qué capacidad operativa pertenece. No cambian lo que se exige, pero ayudan a localizar el control cuando se cruza con otros marcos.

Lee el tipo de control.

Obtener información de las vulnerabilidades solo funciona si llega de las fuentes correctas: los avisos de quienes fabrican lo que la organización usa. Consulta fuentes_de_avisos, que cruza los fabricantes del inventario con las suscripciones de Cortijo.

Un fabricante sin suscripción es un canal por el que una vulnerabilidad puede enterarse antes que la organización.

El auditor hizo cinco preguntas sobre 8.8 y marcó cada respuesta. Consulta preguntas_auditor. Una respuesta es conforme cuando la evidencia entregada responde a la pregunta; una observación señala que la evidencia responde solo a una parte, o a la pregunta de al lado.

Las preguntas del auditor siguen los tres verbos de la tarea 1; leer cuál no se respondió del todo te dice qué verbo flaquea.

La pregunta A-4 pedía evidencia de que se evalúa la exposición, no solo la gravedad. Evaluar la exposición es contestar si el activo afectado se puede alcanzar, desde dónde y qué depende de él. Un número CVSS describe la vulnerabilidad en abstracto y por tanto no responde a eso.