Remediación de vulnerabilidades

Empezar

Objetivo

Mitigar los riesgos por vulnerabilidades en los sistemas, mediante gestión y remediación, asegurando la seguridad y continuidad operativa según las políticas de la compañía.

Consideraciones específicas

¿Identificaste una Vulnerabilidad?

Fuentes de reporte de vulnerabilidades

Ten presente

Gestión y priorización

En la gestión de vulnerabilidades, tú identificas, evalúas y atiendes los riesgos de seguridad. A continuación, verás los componentes principales del proceso:

Remediación

Excepciones

Documentos Referencia

Los siguientes procedimientos te indican cómo gestionar las vulnerabilidades y los cambios tecnológicos en la organización.

• Procedimiento GSI-GSI-P-14 para la gestión de vulnerabilidades Procedimiento.
• GTE-OPT-P-03 para la gestión de cambios tecnológicos.

Alerta

Remediación de vulnerabilidades

Recibirás la notificación de la vulnerabilidad por la herramienta de gestión tecnológica. Debes verificar que incluya el Informe Técnico GTE-GTE-R-08 con: origen del hallazgo, criticidad, prioridad y recomendaciones de remediación. Si el informe tiene inconsistencias, devuelve el ticket al solicitante para que realice los ajustes.

Responsable: Gerente de Proyecto Periodicidad: Diario

Alerta

Mesa técnica de análisis

Convocarás una mesa técnica cuando la vulnerabilidad requiera análisis adicional. Allí definirán la solución o la necesidad de excepción.

• Si se remedia, registrarás las actividades en la herramienta de proyectos.
• Si se acepta el riesgo, emitirás el Acta GSI-GSI-R-79, firmada por el Sponsor y anexada

Responsable: Gerente de Proyecto Periodicidad: Cuando se requiera

Alerta

Crear ítem en Backlog

Generarás la Historia de Usuario o Técnica en la herramienta de proyectos, priorizándola según el tiempo estimado. Registrarás en el ticket el número o enlace del ítem para asegurar trazabilidad y seguimiento.

Responsable: Gerente de Proyecto Periodicidad: Cuando se requiera

Alerta

Desarrollar HU y/o Técnica

El Equipo de QA probará la corrección para asegurar que:

• Mitigue la vulnerabilidad.

• No afecte funcionalidades existentes.

• Cumpla los criterios de aceptación de Seguridad de la Información y Líder Técnico.

Una vez validadas, el Líder Técnico coordinará con Gerencia de Proyecto el despliegue controlado, siguiendo GTE-OPT-P-03.

Responsable: Equipo LT / DEV / QA Periodicidad: Cuando se requiera

Alerta

Entregar remediación

Actualizarás el registro en la herramienta, indicando fecha, responsable y número de aprobación del cambio. Asegura que toda la documentación de soporte esté disponible para la validación de Seguridad de la Información.

Responsable: Gerente de Proyectos Periodicidad: Cuando se requiera

By

¡Felicitaciones, has terminado!

Fuentes de reporte de vulnerabilidades

• Escaneos internos de Seguridad de la Información.

• Escaneos externos de proveedores de ciberseguridad.

• Herramientas automatizadas

(p. ej., Veracode).

• Pruebas internas de monitoreo y reportes de terceros (alertas y sistemas de inteligencia de amenazas).

Remediación

• Cada remediación debe ser validada por Seguridad de la Información.

• La aprobación final corresponde al Comité de Cambios, siguiendo el Procedimiento GTE-OPT-P-03.

Excepciones

• Se acuerdan en mesa técnica con el Arquitecto de Seguridad y el Líder Técnico.

• Deben documentarse en el Acta de Aceptación del Riesgo GSI-GSI-R-79, firmada por el Sponsor.

Gestión y priorización

• Las vulnerabilidades se gestionan según su severidad y prioridad, definidas por Seguridad de la Información y el Informe Técnico GTE-GTE-R-08.