Establecer y Mantener un Proceso de Remediación
Descripción
Establecer y mantener una estrategia de remediación basada en riesgos documentada en un proceso de remediación, con revisiones mensuales o más frecuentes.
Lista de Verificación de Implementación
Herramientas Recomendadas
Evaluación continua de vulnerabilidades y gestión de exposición en activos de IT, nube, contenedores y OT
Tenable · Suscripción por activo
Gestión de vulnerabilidades basada en la nube, detección y respuesta con gestión de parches integrada e inventario de activos
Qualys · Suscripción por activo
Plataforma de gestión de vulnerabilidades con paneles en vivo, priorización de riesgos y flujos de trabajo de remediación
Rapid7 · Suscripción por activo
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Explotación de Vulnerabilidades Sin SLA de Remediación
ConfidencialidadLos atacantes explotan vulnerabilidades conocidas que persisten durante meses porque no existe un cronograma de remediación basado en riesgo, permitiendo a los actores de amenazas armamentizar exploits públicos mucho antes de que se apliquen los parches.
Ataques de Reversión de Parches Debido a Remediación No Probada
DisponibilidadSin un proceso estructurado de remediación, los parches aplicados apresuradamente causan inestabilidad del sistema y son revertidos, re-exponiendo la vulnerabilidad mientras la organización busca una solución estable.
Abuso de Excepciones por Aplazamientos de Remediación No Gestionados
IntegridadLas vulnerabilidades se aplazan permanentemente sin aceptación de riesgo documentada o controles compensatorios, creando un backlog creciente de sistemas sin parchear que acumulan debilidades explotables con el tiempo.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Sin Cronogramas de Remediación Basados en Riesgo
La organización no tiene SLAs definidos que vinculen la severidad de la vulnerabilidad con plazos de remediación (por ejemplo, críticas dentro de 48 horas, altas dentro de 14 días), permitiendo que vulnerabilidades peligrosas permanezcan abiertas indefinidamente.
Sin Proceso Formal de Excepción o Aceptación de Riesgo
Cuando las vulnerabilidades no pueden remediarse inmediatamente, no existe un proceso para documentar excepciones, controles compensatorios o decisiones de aceptación de riesgo, dejando sistemas sin parchear sin ninguna supervisión mitigante.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Documento | Documentación de procedimientos/manuales de respuesta | Revisado semestralmente |
| Registro | Registros de acciones de respuesta que muestren la ejecución del procedimiento | Por incidente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |