Simplificarse para controlar la gestión de Parches de seguridad
Menos es Más en la Gestión de Vulnerabilidades
Los exigentes requisitos de manejo de riesgo a menudo llevan al equipo responsable por la gestión de parches a enfocarse exclusivamente en las métricas específicas de actualización de software y en particular de parches de seguridad.
A menudo se ve atrapado en una carrera interminable para aplicar actualizaciones. ¿Simplificamos este proceso sin sacrificar seguridad ni compliance?
Reducir la cantidad de Productos/Versiones de Sistema Operativo
En un cliente, que estaba trabajando para mejorar el nivel general de compliance, se identificó que los peores niveles se daban en sistemas operativos desactualizados que sólo representaban 16% del parque administrado.
Siempre es más fácil seguir el compliance de menos productos y/o versiones de los sistemas operativos; sean de estaciones de trabajo, móviles o servidores. Mantener ese número controlable obviamente va a facilitar no sólo la administración de esos sistemas sino también su protección y gestión de actualizaciones de seguridad.
Parece una obviedad, pero como vimos más de una vez, es fácil de olvidar.
La mejor manera de asegurar el contexto necesario para una gestión de parcheo efectiva es definir políticas de renovación tecnológica que incluyan no sólo el reemplazo de hardware sino también la de los sistemas operativos.
- Plazo de obsolescencia para dispositivos definido en la organización
- Plazo definido para retirar versiones de sistema operativo versus finalización del soporte del fabricante
Reducir la cantidad de Productos de Software
En un cliente; antes de implementar un programa de Software Asset Management se descubrieron instalados 5 productos distintos para compresión de archivos.
Esta situación se da en productos de todo tipo y en casi todas las empresas de gran envergadura. Múltiples productos que hay que administrar y mantener, evaluar y administrar por riesgos informáticos o de licenciamiento, y conocer al dar soporte al usuario.
Es obvio que es más fácil administrar 1 producto que 5 que en realidad hacen lo mismo.
La mejor manera de reducir la complejidad de productos que en realidad hacen lo mismo; es administrarlos categorizándolos y/o tipificándolos por funcionalidad y definir controles sistemáticos de instalación y políticas de lista negra para aquellos que no están homologados.
- Inventario de Software Instalado Calificado
- Catálogo de Productos de Software Administrado
- Productos de Software <-> Software Instalado
- Categorías de Productos y Descripción de Funcionalidad
- Automatizaciones de Lista Negra/Bloqueo de Software no homologado
Finalmente manejar el riesgo por incumplimiento de licenciamiento también será más simple si la cantidad de productos y versiones instaladas de software está bajo control.