En resumen: Las alertas de seguridad avisan de fallas críticas y de cómo corregirlas, pero en muchas empresas nadie las lee. El riesgo está en el tiempo entre que sale el arreglo y que alguien lo aplica. Para cerrarlo: lista de sistemas y proveedores, una persona que revise las alertas cada semana y un plazo acordado para aplicar arreglos críticos.
El 21 de octubre el CSIRT de Gobierno publicó una alerta por fallas críticas en PHP, el lenguaje con el que funcionan muchísimos sitios web y tiendas online. Una de ellas permitía que alguien tomara control del servidor sin necesidad de clave. (Lo explicamos en detalle en este artículo).
La falla ya tenía arreglo. El riesgo real estaba en otra parte: en muchas empresas, nadie se enteró.
Por qué las alertas de seguridad en la empresa no llegan a nadie
Las alertas de seguridad se publican constantemente: de organismos como el CSIRT, de los fabricantes de software y de los proveedores de servicios. La mayoría de las empresas no tiene a nadie mirando esas fuentes.
Entonces pasa lo de siempre: la falla se corrige en el mundo, pero no en tu servidor. Y quienes buscan sistemas vulnerables justamente aprovechan ese tiempo entre que se publica el arreglo y que alguien lo aplica.
No es que tu empresa sea descuidada. Es que esa tarea no está asignada a nadie, y lo que no tiene dueño no se hace.
La señal para saber si te está pasando
Haz hoy dos preguntas en tu empresa:
- ¿Con qué está hecha nuestra web, y quién la mantiene?
- Si mañana sale una alerta crítica que nos afecta, ¿quién nos avisaría?
Si nadie sabe responder con seguridad, ese es el problema. Y es mucho más común de lo que parece.
Tres pasos para no quedar fuera
- Haz una lista de tus sistemas y proveedores. Web, correo, sistema contable, servidores, servicios en la nube. No puedes proteger lo que no sabes que tienes.
- Define quién revisa las alertas cada semana. Puede ser alguien interno o tu proveedor, pero debe ser una persona con nombre y apellido.
- Acuerda en cuántos días se aplica un arreglo crítico. Si no hay un plazo definido, la actualización siempre queda para «cuando haya tiempo».
Estos tres pasos no requieren comprar tecnología nueva. Requieren decidir quién hace qué.
Preguntas frecuentes
¿Qué es una alerta de seguridad?
Es un aviso que publican organismos como el CSIRT de Gobierno o los fabricantes de software cuando se descubre una falla que puede ser aprovechada por atacantes, normalmente junto con la forma de corregirla.
¿Quién debería revisar las alertas de seguridad en una empresa?
Una persona con nombre y apellido, interna o del proveedor de TI, que las revise al menos una vez por semana y avise cuando una afecte a los sistemas de la empresa.
¿Qué hago si no sé con qué está hecha la web de mi empresa?
Pregúntale a quien la mantiene y haz una lista de tus sistemas y proveedores. Sin esa lista no es posible saber si una alerta te afecta.
¿Tu empresa se habría enterado de esta alerta? Escríbenos «DIAGNÓSTICO» al WhatsApp +569 998 223 11 y revisamos cómo está tu empresa.
