16.6
IG2 IG3

Establecer y Mantener un Sistema de Clasificación de Severidad y Proceso para Vulnerabilidades de Aplicaciones

Tipo de Activo: Aplicaciones
Función de Seguridad: Proteger

Descripción

Establecer y mantener un sistema de clasificación de severidad y proceso para vulnerabilidades de aplicaciones que facilite la priorización del orden en que se corrigen las vulnerabilidades descubiertas. Este proceso incluye establecer un nivel mínimo de aceptabilidad de seguridad para liberar código o aplicaciones. Las clasificaciones de severidad aportan una forma sistemática de clasificar vulnerabilidades que mejora la gestión de riesgos y ayuda a asegurar que los errores más severos se corrijan primero. Revisar y actualizar el sistema y proceso anualmente.

Lista de Verificación de Implementación

1
Evaluar los controles de protección actualmente implementados
2
Configurar e implementar los controles de seguridad requeridos
3
Probar la efectividad de los controles en un entorno de no producción
4
Implementar en producción y verificar la funcionalidad
5
Documentar la configuración y los procedimientos operativos

Amenazas y Vulnerabilidades (CIS RAM)

Escenarios de Amenazas

Vulnerabilidad Crítica Despriorizada Sin Marco de Severidad

Integridad

Una vulnerabilidad crítica de ejecución remota de código en una aplicación orientada al cliente es tratada con la misma urgencia que un error cosmético menor porque no existe un sistema de calificación de severidad para priorizar la remediación.

Vulnerabilidades de Baja Severidad Consumen Recursos Mientras Fallas Críticas Persisten

Confidencialidad

Los equipos de desarrollo gastan tiempo corrigiendo vulnerabilidades de bajo impacto mientras las fallas de seguridad críticas en aplicaciones de producción permanecen sin parchear porque ningún marco de priorización guía el orden de remediación.

Vulnerabilidades (Cuando la Salvaguarda está Ausente)

Sin Sistema de Calificación de Severidad de Vulnerabilidades

Sin un sistema de calificación de severidad, todas las vulnerabilidades se tratan por igual, impidiendo que la organización dirija los recursos de remediación hacia las fallas más críticas y explotables primero.

Sin Umbral Mínimo de Aceptabilidad de Seguridad para Lanzamientos

La ausencia de un estándar mínimo de seguridad significa que las aplicaciones pueden lanzarse a producción con vulnerabilidades críticas sin resolver porque no hay un estándar definido que lo impida.

Requisitos de Evidencia

Tipo Elemento de Evidencia Frecuencia de Recolección
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente