La gestión de activos es una tarea básica no solo para el área de TI sino también para el área de ciberseguridad, prueba de ello es que en los marcos de referencia y los modelos de madurez más comunes en ciberseguridad se contemplan diversos controles al respecto, a continuación, listo algunos ejemplos:

  • ISO27001.
    • A.8.1.1 Inventario de activos.
    • A.8.1.2 Propiedad de los activos.
    • A.8.1.3 Uso aceptable de los activos.
  • CISv8.
    • 1.1 Establecer y mantener un inventario detallado de los activos empresariales.
    • 1.2 Gestionar los activos no autorizados.
    • 1.3 Utilizar una herramienta de descubrimiento activo.
    • 4.1 Establecer y mantener un proceso de configuración seguro.
    • 5.1 Establecer y mantener un inventario de cuentas.
  • NIST 800-53.
    • Configuration Managment-2. Configuración base.
    • Configuration Management-8. Inventario de los componentes de los sistemas de información.
    • Program Maganement-5. Inventario de sistemas.
  • NIST Cybersecurity Framework
    • Asset Management ID.AM-01. Se mantiene un inventario del hardware gestionado por la organización.
    • Asset Management ID.AM-02. Se mantienen inventarios de software, servicios y sistemas administrados por la organización.
    • Asset Management ID.AM-03. Se mantienen representaciones de la comunicación de red autorizada de la organización y de los flujos de datos de red internos y externos.
    • Asset Management ID.AM-05. Los activos se priorizan según su clasificación, criticidad, recursos e impacto en la misión.
  • Cybersecurity Capability Maturity Model (C2M2).
    • Asset-1 Gestionar el inventario de activos de TI y OT.
    • Asset-2 Gestionar el inventario de activos de información.
    • Asset-3 Gestionar la configuración de activos de TI y OT.
  • Cybersecurity Maturity Model Certification (CMMC).
    • Configuration Management.L2-3.4.1 Establecer y mantener configuraciones e inventarios de referencia de los sistemas organizacionales (incluido hardware, software, firmware y documentación) a lo largo de los respectivos ciclos de vida de desarrollo del sistema.

Para abordar enfoques recientes como la gestión de la superficie de ataque (Attack Surface Management) o la gestión continua de la exposición a amenazas (Continuous Threat Exposure Management) es indispensable, primero, tener una buena gestión del inventario de activos, desafortunadamente, a pesar de la importancia de este tema, resulta complejo lograrlo en la práctica. Los principales retos a los que las organizaciones se enfrentan son:

  • Aumento en la cantidad de activos. En los últimos años la cantidad de activos tecnológicos se ha incrementado significativamente producto de la transformación digital de las organizaciones, la adopción de los servicios en la nube, la habilitación de esquemas de trabajo remoto y la utilización de dispositivos IoT. Cada nuevo dispositivo conectado es un elemento que, de una u otra forma, genera riesgos.
  • Aumento en la complejidad. En muchas organizaciones la información relativa a los activos está dispersa en diferentes plataformas, tanto de TI como de seguridad, adicionalmente, algunos de estos activos son efímeros, lo que dificulta su identificación y gestión.
  • Oportunidad y precisión. Se requiere contar con información en tiempo real, actualizada y precisa para que pueda ser útil.

La gestión de activos con un enfoque en la ciberseguridad (Cybersecurity Asset Management, CSAM) es el proceso continuo de identificar, rastrear, clasificar, priorizar y gestionar todos los activos tecnológicos que posee o utiliza una organización, garantizando que estos activos sean conocidos, gestionados, contabilizados y protegidos adecuadamente contra posibles amenazas cibernéticas.

Se trata de saber lo que tenemos, dónde está, y asegurarnos de que su postura de seguridad sea adecuada.

Hoy debemos pensar en utilizar soluciones modernas, que se integren a nuestro ecosistema tecnológico para aprovechar la información que ya poseen dichas tecnologías acerca de los activos, y con ello contar con una fuente única y centralizada para obtener un enfoque proactivo y responder de manera ágil preguntas como: ¿cuántos activos tengo en mi organización?, ¿de qué tipo son?, ¿dónde se ubican?, ¿el activo está actualizado?, ¿posee el agente de seguridad que le corresponde?, ¿cuáles son nuevos o no se habían visto previamente?, ¿ha sido contemplado ese activo en los escaneos de vulnerabilidades realizados?, ¿cuenta con los parches que le corresponden?, por mencionar algunas.

Las características principales que debemos buscar en este tipo de herramientas son las siguientes:

  • Obtener información detallada de los diferentes tipos de activos (dispositivos, aplicaciones, sistemas operativos, etc.) sin importar su ubicación (on-premise o nube).
  • Concentrar, correlacionar y conciliar información de diferentes fuentes ya existentes en la organización para tener una vista única del activo y de lo que contiene.
  • Verificar el apego de los activos a las políticas de seguridad con base en la información detallada que se tenga del activo.
  • Ayudar a detectar vulnerabilidades, amenazas y riesgos como resultado de una vista unificada de toda esa información de cada activo.
  • Apoyar en la automatización de posibles acciones en caso de incumplimiento de las políticas definidas, detonando acciones en otros sistemas para aplicar parches, aislar el activo, escanear vulnerabilidades o cualquier otro tipo de acción que ayude a cerrar la desviación identificada.
  • Ayudar a la respuesta a incidentes proveyendo información relevante de los activos involucrados.
  • Identificar activos que no están siendo gestionados por el área de ciberseguridad.

No se puede proteger lo que no se sabe que existe, no se pueden proteger los activos si no sabemos cuál es su postura de seguridad. Contar con una plataforma de gestión de activos de ciberseguridad proporciona una visión integral y precisa de todos los dispositivos, sistemas y demás elementos tecnológicos que la organización tiene o utiliza, ayudándola a minimizar riesgos, a protegerse de manera más efectiva contra posibles ciberamenazas y a facilitar el cumplimiento de las normativas de seguridad.

[email protected]

Referencias:

https://ordr.net/article/increasing-importance-of-cybersecurity-asset-management

https://vulcan.io/basics/cyber-security-asset-management-101/

https://www.silk.security/vulnerability-management-lifecycle/cyber-asset-management

White Paper AXONIUS: Asset Management for Cybersecurity: 10 Essential Questions to Answer

White Paper AXONIUS: Solving the Top Cybersecurity Asset Management Challenges

Ebook AXONIUS: Why does asset management matter for cybersecurity?

White Paper ARMIS: From Chaos to Control: Simplifying Cybersecurity Asset Management